Android高階之十三講之安全方案

本文來自http://blog.csdn.net/liuxian13183/ ，引用必須註明出處！

Android是開源的，內部API相對比較透明，因此App的威脅會多一些，瞭解一些安全知識，有助於使用者體驗和產品穩定性。

1、App元件方面，慎用android:export=true（Activity、Service、BroadcastReveiver如果元件有超過一個intent-filter則預設為true；ContentProvider在16即4.1系統及以下預設為true，以上為false;），防止被程式惡意呼叫；對放出的元件，進行許可權限制和資料校驗，Intent設定包名。

2、WebView使用webView.addJavaScriptInterface的方式注入開放給H5的介面，使用註解的方式@JavaScriptInterface來標明介面。

4.2以下防攻擊方案：http://blog.csdn.net/zhouyongyang621/article/details/47000041

3、防止反編譯，造成介面被攻擊、資料洩露，進行混淆加固處理；同時可以將apk的md5發給服務端進行校驗，如果二次打包，則可以分辨出；用Cipher對資料庫包括SharePreference加密，後者使用MODE_PRIVATE；核心功能寫入so，通過jni呼叫。

4、防止DNS劫持，使用https加密傳輸；升級和下載時往往容易被劫持連結而下載別的App，同時防止被hook導致安裝其他路徑的安裝包。升級和下載使用https，安裝時要比較下載包的Md5與服務端返回是否一致、包名是否一致來保證下載包正常；將資料設定失效時間。

5、介面資料校驗，注意頻繁請求某一介面、虛擬註冊、驗證碼介面被刷，防止服務端被拖垮。

6、打包上傳後驗證簽名資訊，下載應用市場apk，解壓出META-INF下CERT.RSA檔案，使用如下命令檢視簽名

 Collections.unmodifiableList(list);

Intent intent = new Intent("com.android.settings.action.SWITH_AGED_MODE");
intent.setPackage("com.android.settings");
sendBroadcast(intent,"com.android.settings.permission.SWITH_SETTING");

10、防禦措施一般如下三種：

第一、寄託在破壞攻擊者的工具。第二、寄託在Java層程式碼逆向、除錯和閱讀的難度。第三、寄託在c層程式碼逆向、除錯和閱讀的難度上。

  11、對於動態註冊的廣播，儘量使用LocalBroadcastReceiver來進行本地註冊，這樣只在本應用內通訊；如果使用registerReceiver（）則要做好許可權控制。

附硬體資訊查詢方式，通過撥號盤輸入如下引數即可

12、onPause時，通過ProcessManager.getRunningAppProcess來檢測自己是否位於棧頂，防止第三方應用懸浮

13、使用TrustMangerFactory匯入證照，自籤校驗

14、getRecentTask，使自己的程式不可見

在AndroidManifest.xml配置android:exclueFromRecents=false或Intent設定此flag，僅5.0以下有效，以上底層已經封掉getRecentTask方法

15、android:allowBackup=“false” 防止設為true後，通過 adb backup 和adb restore來備份和恢復資料。

16、敏感資訊不要使用socket通訊，使用可以檢驗身份的方式會更好。

通用功能

WIFI,GPS和藍芽檢測

系統韌體版本資訊

工廠測試

PDA和電話

其他

日誌輸出辦法：

adb logcat -b main -v time>app.log  列印應用程式的log 

adb logcat -b radio -v time> radio.log 列印射頻相關的log

adb logcat -b events -v time  列印系統事件的日誌，比如觸屏事件

6、許可權問題

        try {
            PackageManager packageManager=mContext.getPackageManager();
            Drawable drawable=packageManager.getResourcesForApplication("com.tencent.qq").getDrawable(0x7f020110);
            mOnlineTv.setBackground(drawable);
        }catch (Exception e){
            showToast(e.getMessage());
        }

如上程式碼可以獲取QQ的一張圖片來設定到自己的App來，原因在於QQ設定了export=true，破解其App得到資源即可實現。延伸講一個activity的安全性，一般通過action、設定應用包名可以直接開啟，那麼可以做的就是給activity設定一個許可權，同時將傳過來context的package做判斷，如果在後臺註冊過則同意開啟，否則拒絕開啟。

再舉一例：

   Intent intent = new Intent(Intent.ACTION_MAIN);
        ComponentName cn = new ComponentName("com.tencent.qq", "com.tencent.qq.activity.LoginActivity");
        intent.setComponent(cn);
        startActivity(intent);

7、安全一點的intent(設定selector為null，chrome預設設定component為null)

1. // convert intent scheme URL to intent object  
2. Intent intent = Intent.parseUri(uri);  
3. // forbid launching activities without BROWSABLE category  
4. intent.addCategory(“android.intent.category.BROWSABLE”);  
5. // forbid explicit call  
6. intent.setComponent(null);  
7. // forbid intent with selector intent  
8. intent.setSelector(null);  
9. // start the activity by the intent  
10. context.startActivityIfNeeded(intent, –1);  

防止被注入選項和component進入其他app，被擷取資料。

劫持後如何防止使用者資料被抓取

主要因為html中被插入js，同時彈出新的偽裝頁面

http://www.cnblogs.com/alisecurity/p/5408588.html

遇到下面這種，還是要自己多注意些

8、zip包裡儘量不要出現../../file，對解壓包的目錄進行判斷是否多級目錄，防止資料被覆蓋。

String entryName = entry.getName();
if (entryName.contains(“..”)){
throw new Exception(“unsecurity zipfile!”);
}

9、

偽基站傳播分析

偽基站能夠偽裝成電信運營商的服務號，向手機使用者群發釣魚簡訊，收到的釣魚簡訊跟正常簡訊顯示在一起，真假難辨。釣魚網站的模擬度很高，並抓住了人們貪小便宜的弱點，先收集使用者資訊，再引導安裝仿冒應用。

美國聯邦調查局認為：金鑰長度需要設定56位，幾乎不可破解，而30位以下可以通過暴力破解-入侵的藝術。