操作系统安全&数据库加固
- secureCRT。同时扫描数据库和操作系统测试报告比较清晰，还告诉了如何去重现校验
- ngs 扫描数据库
- nessus 扫描数据库
代码扫描
工具
- fortify。侧重代码质量
- coverity。侧重代码安全
手动搜索
- 日志不能打印敏感数据，可以全局正则搜索user,token,pwd。最好和开发人员访谈确认关键词
隐私保护
- LBS 安全大师
- 根据《产品隐私权限列表》进行测试，每次使用个人数据时是否有授权提示框
apk 安全
- intent fuzzer 工具
- 根据AndroidMainifest.xml中的权限设置，是否有多于权限
- 其他AndroidMainifest.xml的默认设置，allowbackup,debug,私有activity的设置等
- rf explorer 管理器查看应用包里的属性，other的权限应该是--。以及存储日志的关键字搜索等
- 抓包修改apk客户端的字段，fiddler
- 反编译。dex2jar+jd-gui 查看代码，搜索一些敏感关键字，无明文硬码密码，
apk病毒
- .McAfee Mobile Security
第三方类库扫描
- CVE
- CVSS评分标准: 漏洞的最终得分最大为10，最小为0。得分710的漏洞通常被认为比较严重，得分在46.9之间的是中级漏洞，0~3.9的则是低级漏洞。
- 基于CVE二次开发工具
- 也可使用cvechecker
口令安全
- 加密验证。走读代码
- 其他。如每次的加密都是唯一的，不得使用Random函数作为秘钥，不得使用有规则的随机种子
证书安全
- 替换证书
- 证书到期
web安全
sql注入
- AppCan
- 手动注入url,输入注入特殊符号，如：,&,,注释符号
- 抓包改cookie
- 手动执行。如，没权限的角色访问高级权限的url
- 抓包绕过验证码。服务器必须对验证码验证
- 抓包下载文件修改url,如http://www.test/downlad/getPdf,改http://www.test/downlad/getPdf/....etc/pwd等
补充
- 跨站脚本工具 fortify webinspect
- sql注入工具 fortify webinspect
- 跨目录访问工具 fortify webinspect
- 权限验证 手工
- 隐通道 手工
