mobile-app-security-testing

Files (1)

• SKILL.md

SKILL.md (first lines)

# 移动应用安全深度测试技能

> **AI LOAD INSTRUCTION**: 移动应用安全测试专家打法（Android/iOS 双平台）。聚焦静态→动态→加固脱壳对抗→抓包→跨平台框架→端侧 AI 面的阶段决策；脱壳 dump 与 so 逆向细节交给 binary-mobile-reversing 细分包。

## 概述

移动应用是企业数字资产的"最后一公里"，攻击面横跨**客户端安全→数据存储→网络通信→后端API→云基础设施**全栈。本技能 v3.0 站在资深攻防/红队专家视角，系统化覆盖**信息收集→APK/IPA逆向→静态/动态分析→Hook注入→脱壳对抗→抓包调试→跨平台逆向→AI应用攻击面→供应链→API与云渗透→完整深层攻击链**，并首次引入 **AI 大模型结合维度**（AI 辅助逆向、AI 驱动 API 调用链分析、移动端大模型应用攻击面）。

### 核心概念
- **移动端深层攻击链**：`App客户端 → 逆向/抓包 → 后端API → 云基础设施`，任一环节失守即可串联成完整入侵链（如：逆向提取硬编码云密钥 → 直接访问生产 S3/数据库）
- **攻击面分层模型**：客户端（代码/存储/组件）→ 传输层（TLS/pinning）→ 服务端（API/认证/IDOR）→ 云（凭据/存储桶/函数）
- **MASVS / MASTG**：OWASP 移动应用安全验证标准（MASVS）与测试指南（MASTG）是测试分级的行业基线（L1/L2）
- **对抗性测试三要素**：绕过能力（root/越狱/模拟器检测）、逆向能力（脱壳/反混淆）、持久化能力（Hook 存活/防杀）
- **信任边界**：移动端一切"客户端安全"最终都是可被攻破的——安全重心必须放在服务端，客户端只能做纵深防御
- **AI 新范式**：AI 已进入移动应用内（端侧 LLM/Agent、AI 助手），提示注入（OWASP LLM01）成为移动端新高危面

### 2025-2026 威胁态势（情报基线）
- **Quokka《The State of Mobile App Security 2026》**（分析 15 万应用）：94.3% 的 Android 应用存在 HTTP URL、47.8% 的 Android 应用硬编码密码学密钥（iOS 17.6%）、50+ 应用在二进制中硬编码 AWS 凭据、11% Android/13% iOS 应用存在第三方组件严重 CVE
- **Zimperium《2026 Global Mobile Threat Report》**：移动应用内 AI 集成量 Android 增长 14x/iOS 增长 7x（"影子 AI"盲区爆发）、间谍软件出现在近 1/10 设备（同比 4x）、AI 辅助开发（vibe coding）预计 2027 年 25% 缺陷源于 AI 生成代码
- **OWASP LLM Top 10（2025）**：提示注入（LLM01）、敏感信息泄露（LLM02）、供应链（LLM03）、数据/模型投毒（LLM04）、过度代理权（LLM06）等已可映射到移动端 AI 应用
- **移动 LLM Agent 实证研究**（arXiv 2510.27140）：对 8 款主流移动 Agent（如 AppAgent 系）的 2000+ 次对抗测试中，广告等低门槛向量成功率超 80%，恶意软件安装等跨应用工作流可稳定完成
- **iOS 26 / Android 16 时代**：iOS 26 引入硬件级内存完整性强制（MIE，A19/M5）、背景安全改进（BSI）；Android 16 强化身份核验（Identity Check）、端侧 AI 诈骗检测；系统安全水位提升，**应用层漏洞成为主战场**

## 一、攻防全景：移动端深层攻击链与核心概念

### 1.1 深层攻击链全景（App→API→后端→云）

移动端测试绝非"只测客户端"，红队思维要求沿整条链纵深突破：

```
┌─────────────┐   ┌─────────────┐   ┌─────────────┐   ┌─────────────┐
│ 移动客户端    │──▶│ 后端 API     │──▶│ 后端应用     │──▶│ 云基础设施    │
│ 逆向/抓包/Hook│   │ 认证/参数/IDOR│   │ Web漏洞/逻辑 │   │ 凭据/存储桶   │
└─────────────┘   └─────────────┘   └─────────────┘   └─────────────┘
```

**实战攻击链示例（按高危到低危）：**
```
链1（云凭据链）: 逆向APK → jadx发现硬编码AWS AccessKey → 枚举S3桶 → 读取生产数据库备份 → 全量数据泄露
链2（越权链）:   抓包获取JWT → 篡改userId/role字段 → IDOR横向遍历用户数据 → 提权至管理员
链3（供应链链）: 应用集成恶意SDK（如EngageSDK类Intent Redirection）→ 同设备恶意App触发 → 窃取钱包/支付数据
链4（AI链）:    移动Agent读取截图 → 隐形屏幕文本提示注入 → Agent执行恶意指令 → 外发隐私数据
```

**各环节高频漏洞速查表：**

| 环节 | 高频漏洞 | 实战验证手法 |
|------|---------|-------------|
| 客户端 | 硬编码密钥/AWS凭据、明文存储、WebView RCE、深链劫持 | jadx搜索、Frida hook、adb触发 |
| 传输层 | 明文HTTP、无pinning、弱TLS、mTLS证书泄露 | Burp抓包、SSL Kill Switch、证书提取 |
| API | 未授权接口、JWT/Token伪造、IDOR、参数篡改、GraphQL过度查询 | 重放、改包、批量遍历、GraphQL introspection |
| 后端 | SQL注入、SSRF、文件上传、逻辑漏洞 | Web漏扫+手工验证 |
| 云 | 云密钥泄露、存储桶公开、函数未鉴权 | 凭据扫描、桶枚举、函数调用 |

### 1.2 测试方法学（五阶段）
```
阶段1 信息收集:   获取APK/IPA → 指纹识别（框架/加固/语言）→ 资产梳理（API域名/端口）
阶段2 静态分析:   反编译 → 代码审计（密钥/逻辑/API端点）→ Manifest/plist/组件分析
阶段3 动态分析:   抓包 → Hook/调试 → 脱壳 → 功能遍历 → 数据存储检查
阶段4 服务端测试: API枚举 → 认证/越权/注入测试 → 云凭据验证
阶段5 攻击链串联: 将单点漏洞组装为完整攻击链 → 评估实际影响 → 输出报告
```

## 二、Android 静态逆向与组件攻击面

### 2.1 APK 解包与基础静态分析
```bash
# 解包与反编译
apktool d app.apk -o output          # 资源+smali反汇编
jadx -d output_src app.apk           # Java反编译（推荐jadx-gui）
unzip -l app.apk                      # 查看结构

# 查看签名/证书
keytool -printcert -jarfile app.apk

# Native库清单
ls lib/arm64-v8a/ lib/armeabi-v7a/   # .so文件 → Ghidra/IDA分析

# 快速敏感信息扫描
grep -rE "(api[_-]?key|secret|password|token|aws_access|AKIA)" output_src --include="*.java" -i
strings lib/arm64-v8a/*.so | grep -iE "api_key|secret|BEGIN RSA|private"
```

### 2.2 AndroidManifest.xml 深度审计
```xml
<!-- 高危配置检查清单 -->
<application
    android:debuggable="true"          <!-- 可调试 → adb调试器直连 -->
    android:allowBackup="true"         <!-- 可备份 → adb backup导出数据 -->
    android:usesCleartextTraffic="true"><!-- 明文HTTP -->
<application android:networkSecurityConfig="@xml/network_security_config">
<!-- 关注: 自定义network_security_config是否放行user证书（测试发现pinning失效点） -->

<!-- 组件导出 -->
<activity android:exported="true">     <!-- 任意App可启动 -->
<service android:exported="true">      <!-- 任意App可绑定/启动 -->
<receiver android:exported="true">     <!-- 任意App可发广播 -->
<provider android:exported="true" android:grantUriPermissions="true">
<!-- 关注: 导出的Provider + grantUriPermissions → URI授权绕过 -->

<!-- 权限滥用 -->
<uses-permission android:name="android.permission.SYSTEM_ALERT_WINDOW"/> <!-- 悬浮窗(钓鱼/Agent攻击) -->
<uses-permission android:name="android.permission.BIND_ACCESSIBILITY_SERVICE"/> <!-- 无障碍(截取输入) -->
```
```bash
# 组件攻击验证
adb shell am start -n com.target/.ExportedActivity --es key "payload"
adb shell am startservice -n com.target/.ExportedService
adb shell am broadcast -a com.target.ACTION --es data "malicious"
adb shell content query --uri content://com.target.provider/data
```

### 2.3 Content Provider 攻击面（重点深化）
Content Provider 是 Android 中常被低估的攻击面，可导致**任意文件读取、SQL注入、越权数据访问**：
```bash
# 枚举导出的Provider
adb shell dumpsys package com.target | grep -A5 "ContentProvider"
# 或反编译后从Manifest提取

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC