***测试公司对IOS端APP进行的安全服务过程分享

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了***测试公司对IOS端APP进行的安全服务过程分享相关的知识,希望对你有一定的参考价值。

***测试公司对ios端APP进行的安全服务过程分享

分类专栏: ***测试 网站***测试 ***测试公司 文章标签: APP安全*** APP安全检测 APP漏洞检测 移动应用安全测试 ***测试公司
版权
IOS端的APP***测试在整个互联网上相关的安全文章较少,前几天有位客户的APP数据被篡改,导致用户被随意提现,任意的提币,转币给平台的运营造成了很大的经济损失,通过朋友介绍找到我们SINE安全公司寻求安全解决方案,防止APP继续被篡改与***,针对客户的这一情况我们立即成立安全应急响应小组,对客户的APP以及服务器进行了全面的安全***。

首先要了解客户的IOS APP应用使用的是什么架构,经过我们安全工程师的详细检查与代码的分析,采用的是网站语言开发,php+mysql数据库+VUE组合开发的,服务器系统是Linux centos版本。
技术图片

我们搭建起***测试的环境,下载的客户的最新APP应用到手机当中,并开启了8098端口为代理端口,对APP的数据进行了抓包与截取,打开APP后竟然闪退了,通过抓包获取到客户的APP使用了代理检测机制,当手机使用代理进行访问的时候就会自动判断是否是使用的代理,如果是就返回错误值,并强制APP退出,断掉一切与APP的网络连接。那么对于我们SINE安全技术来说,这都是很简单的就可以绕过,通过反编译IPA包,代码分析追踪到APP代理检测的源代码,有一段代码是单独设置的,当值判断为1就可以直接绕过,我们直接HOOK该代码,绕过了代理检测机制。

接下来我们SINE安全工程师对客户APP的正常功能比如:用户注册,用户密码找回,登录,以及用户留言,用户头像上传,充币提币,二次密码等功能进行了全面的***测试服务,在用户留言这里发现可以写入恶意的XSS跨站代码到后端中去,当用户在APP端提交留言数据POST到后台数据,当后台管理员查看用户留言的时候,就会截取APP管理员的cookies值以及后台登录地址,***者利用该XSS漏洞获取到了后台的管理员权限,之前发生的会员数据被篡改等安全问题都是由这个漏洞导致的,客户说后台并没有记录到修改会员的一些操作日志,正常如果管理员在后台对会员进行操作设置的时候,都会有操作日志记录到后台中去,通过客户的这些反馈,我们继续对APP进行***测试,果然不出我们SINE安全所料,后台里有上传图片功能,我们POST截取数据包,对上传的文件类型进行修改为PHP后缀名,直接POST数据过去,直接绕过代码检测上传了PHP脚本文件到后台的图片目录。
技术图片

我们对上传的网站***后门也叫webshell,客户网站后台存在文件上传漏洞,可以上传任意格式的文件,我们又登录客户的服务器对nginx的日志进行分析处理,发现了***者的痕迹,在12月20号晚上,XSS漏洞获取后台权限并通过文件上传漏洞上传了webshell,利用webshell获取到了APP的数据库配置文件,通过webshell内置的mysql连接功能,直接对会员数据进行了修改,至此客户会员数据被篡改的问题得以圆满的解决,我们又对其他功能进行***测试发现,用户密码找回功能存在逻辑漏洞,可以绕过验证码直接修改任意会员账号的密码。

技术图片

这次APP***测试总共发现三个漏洞,XSS跨站漏洞,文件上传漏洞,用户密码找回逻辑漏洞,这些漏洞在我们安全界来说属于高危漏洞,可以对APP,网站,服务器造成重大的影响,不可忽视,APP安全了,带来的也是用户的数据安全,只有用户安全了,才能带来利益上的共赢。如果您对***测试不懂的话,也可以找专业的网站安全公司,以及***测试公司来帮您检测一下。

以上是关于***测试公司对IOS端APP进行的安全服务过程分享的主要内容,如果未能解决你的问题,请参考以下文章

教你如何进行移动端APP测试

APP***测试 网站漏洞检测以及如何防止***

安卓APP应用安全***测试 如何对APP安全进行全方位的漏洞检测

网站漏洞的查找利用解析漏洞来绕过上传

[移动安全]从某甲方app安全内测的过程到分析

网站安全漏洞检测服务 对OA系统***测试服务详情