Android高级之十三讲之安全方案

本文来自http://blog.csdn.net/liuxian13183/ ，引用必须注明出处！

Android是开源的，内部API相对比较透明，因此App的威胁会多一些，了解一些安全知识，有助于用户体验和产品稳定性。

1、App组件方面，慎用android:export=true（Activity、Service、BroadcastReveiver如果组件有超过一个intent-filter则默认为true；ContentProvider在16即4.1系统及以下默认为true，以上为false;），防止被程序恶意调用；对放出的组件，进行权限限制和数据校验，Intent设置包名。

2、WebView使用webView.addJavaScriptInterface的方式注入开放给H5的接口，使用注解的方式@JavaScriptInterface来标明接口。

4.2以下防攻击方案：http://blog.csdn.net/zhouyongyang621/article/details/47000041

3、防止反编译，造成接口被攻击、数据泄露，进行混淆加固处理；同时可以将apk的md5发给服务端进行校验，如果二次打包，则可以分辨出；用Cipher对数据库包括SharePreference加密，后者使用MODE_PRIVATE；核心功能写入so，通过jni调用。

4、防止DNS劫持，使用https加密传输；升级和下载时往往容易被劫持链接而下载别的App，同时防止被hook导致安装其他路径的安装包。升级和下载使用https，安装时要比较下载包的Md5与服务端返回是否一致、包名是否一致来保证下载包正常；将数据设置失效时间。

5、接口数据校验，注意频繁请求某一接口、虚拟注册、验证码接口被刷，防止服务端被拖垮。

6、打包上传后验证签名信息，下载应用市场apk，解压出META-INF下CERT.RSA文件，使用如下命令查看签名

 Collections.unmodifiableList(list);

Intent intent = new Intent("com.android.settings.action.SWITH_AGED_MODE");
intent.setPackage("com.android.settings");
sendBroadcast(intent,"com.android.settings.permission.SWITH_SETTING");

10、防御措施一般如下三种：

第一、寄托在破坏攻击者的工具。第二、寄托在Java层代码逆向、调试和阅读的难度。第三、寄托在c层代码逆向、调试和阅读的难度上。

  11、对于动态注册的广播，尽量使用LocalBroadcastReceiver来进行本地注册，这样只在本应用内通信；如果使用registerReceiver（）则要做好权限控制。

附硬件信息查询方式，通过拨号盘输入如下参数即可

12、onPause时，通过ProcessManager.getRunningAppProcess来检测自己是否位于栈顶，防止第三方应用悬浮

13、使用TrustMangerFactory导入证书，自签校验

14、getRecentTask，使自己的进程不可见

在AndroidManifest.xml配置android:exclueFromRecents=false或Intent设置此flag，仅5.0以下有效，以上底层已经封掉getRecentTask方法

15、android:allowBackup="false" 防止设为true后，通过 adb backup 和adb restore来备份和恢复数据。

16、敏感信息不要使用socket通信，使用可以检验身份的方式会更好。

通用功能

WIFI,GPS和蓝牙检测

系统固件版本信息

工厂测试

PDA和电话

其他

日志输出办法：

adb logcat -b main -v time>app.log  打印应用程序的log 

adb logcat -b radio -v time> radio.log 打印射频相关的log

adb logcat -b events -v time  打印系统事件的日志，比如触屏事件

6、权限问题

        try {
            PackageManager packageManager=mContext.getPackageManager();
            Drawable drawable=packageManager.getResourcesForApplication("com.tencent.qq").getDrawable(0x7f020110);
            mOnlineTv.setBackground(drawable);
        }catch (Exception e){
            showToast(e.getMessage());
        }

如上代码可以获取QQ的一张图片来设置到自己的App来，原因在于QQ设置了export=true，破解其App得到资源即可实现。延伸讲一个activity的安全性，一般通过action、设置应用包名可以直接打开，那么可以做的就是给activity设置一个权限，同时将传过来context的package做判断，如果在后台注册过则同意打开，否则拒绝打开。

再举一例：

   Intent intent = new Intent(Intent.ACTION_MAIN);
        ComponentName cn = new ComponentName("com.tencent.qq", "com.tencent.qq.activity.LoginActivity");
        intent.setComponent(cn);
        startActivity(intent);

7、安全一点的intent(设置selector为null，chrome默认设置component为null)

1. // convert intent scheme URL to intent object  
2. Intent intent = Intent.parseUri(uri);  
3. // forbid launching activities without BROWSABLE category  
4. intent.addCategory("android.intent.category.BROWSABLE");  
5. // forbid explicit call  
6. intent.setComponent(null);  
7. // forbid intent with selector intent  
8. intent.setSelector(null);  
9. // start the activity by the intent  
10. context.startActivityIfNeeded(intent, -1);  

劫持后如何防止用户数据被抓取

主要因为html中被插入js，同时弹出新的伪装页面

http://www.cnblogs.com/alisecurity/p/5408588.html

遇到下面这种，还是要自己多注意些

8、zip包里尽量不要出现../../file，对解压包的目录进行判断是否多级目录，防止数据被覆盖。

String entryName = entry.getName();
if (entryName.contains("..")){
throw new Exception("unsecurity zipfile!");
}

伪基站传播分析

伪基站能够伪装成电信运营商的服务号，向手机用户群发钓鱼短信，收到的钓鱼短信跟正常短信显示在一起，真假难辨。钓鱼网站的仿真度很高，并抓住了人们贪小便宜的弱点，先收集用户信息，再引导安装仿冒应用。