保护你的APP！快速了解如何进行APP安全性测试！

通常我们队APP所进行的安全性测试包含以下几个模块：安装包安全性、数据安全性、软键盘劫持、账户安全性、通信安全性、备份检查等。下面针对每个模块我们详细说明具体的测试方法。

安装包安全性

1、反编译

目的是为了保护公司的知识产权和安全方面的考虑等，一些程序开发人员会在源码中硬编码一些敏感信息，如密码。而且若程序内部一些设计欠佳的逻辑，也可能隐含漏洞，一旦源码泄漏，安全隐患巨大。

为了避免这些问题，除了代码审核外，通常开发的做法是对代码进行混淆，混淆后源代码通过反软件生成的源代码是很难读懂的。

测试中，我们可以直接使用反编译工具（Android端使用dex2jar和jd-gui工具，iOS端使用Hopper Disassembler、otool、ida pro等）查看源代码，判断是否进行了代码混淆，包括显而易见的敏感信息。

2、签名

这点IOS可以不用考虑，因为APP stroe都会校验。但Android没有此类权威检查，我们要在发布前校验一下签名使用的key是否正确，以防被恶意第三方应用覆盖安装等。可使用下列命令检查：

jarsigner -verify -verbose -certs apk包路径

若结果为“jar 已验证”，说明签名校验成功。

3、完整性校验

为确保安装包不会在测试完成到最终交付过程中因为某些原因发生文件损坏，需要对安装包进行完整性校验，通常做法是检查文件的md5值。

现在我也找了很多测试的朋友，做了一个分享技术的交流群，共享了很多我们收集的技术文档和视频教程。
如果你不想再体验自学时找不到资源，没人解答问题，坚持几天便放弃的感受
可以加入我们一起交流。而且还有很多在自动化，性能，安全，测试开发等等方面有一定建树的技术大牛
分享他们的经验，还会分享很多直播讲座和技术沙龙
可以免费学习！划重点！开源的！！！
qq群号：110685036【暗号：csdn999】

数据安全性

1、数据库

数据库是否存储敏感信息，某些应用会把cookie类数据保存在数据库中，一旦此数据被他人获取，可能造成用户账户被盗用等严重问题，测试中在跑完一个包含数据库操作的测试用例后，我们可以直接查看数据库里的数据，观察是否有敏感信息存储在内。一般来说这些敏感信息需要用户进行注销操作后删除。如果是cookie类数据，建议设置合理的过期时间。

2、日志

日志是否存在敏感信息，一般开发在写程序的过程中会加入日志帮助高度，所有可能会写入一些敏感信息，通常APP的发布版不会使用日志，但也不排除特殊情况。

3、配置文件

配置文件是否存在敏感信息，与日志类似，我们需要检查配置文件中是否包含敏感信息。

软键盘劫持

如果用户安装了第三方键盘，可能存在劫持情况，对此，我们在一些特别敏感的输入地方可以做检查，例如金融类APP登录界面的用户名密码输入框等，看是否支持第三方输入法，一般建议使用应用内的软键盘。

账户安全性

1、秘钥存储

密码是否明文存储在后台数据库。

2、秘钥传输

密码传输是否加密，测试中我们需要查看密码是否被明文传输，如果是HTTPS接口，我们可以使用Fiddler等工具直接查看。

3、防暴力破解