APP的安全漏洞怎么檢測，有什么工具可以進(jìn)行檢測？

目前我經(jīng)常用的漏洞檢測工具主要就是愛內(nèi)測，因為愛內(nèi)測會根據(jù)應(yīng)用特性，對程序機密性會采取不同程度不同方式的檢測，檢測項目包括代碼是否混淆，DEX、so庫文件是否保護(hù)，程序簽名、權(quán)限管理是否完整等；組件安全檢測主要針對Activity、Broadcast Receiver、Service、WebView、Intent等是否存在漏洞，并給出針對性建議；數(shù)據(jù)安全會全面檢測APP存在的數(shù)據(jù)泄漏漏洞和輸出層、協(xié)議層等所有涉及數(shù)據(jù)安全的漏洞，確保APP里那些可能導(dǎo)致帳號泄露的漏洞被全部檢測出。

創(chuàng)新互聯(lián)專注于牟平網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗。 熱誠為您提供牟平營銷型網(wǎng)站建設(shè)，牟平網(wǎng)站制作、牟平網(wǎng)頁設(shè)計、牟平網(wǎng)站官網(wǎng)定制、小程序制作服務(wù)，打造牟平網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供牟平網(wǎng)站排名全網(wǎng)營銷落地服務(wù)。

「軟件測試」如何進(jìn)行APP安全性測試

一、前言

在SDK最近的項目中上線的包被第三方殺毒軟件報出有病毒的問題，后來經(jīng)過查驗發(fā)現(xiàn)是SDK懸浮窗動畫的邏輯被檢驗出有病毒，最后進(jìn)行了修改。事情雖然解決了，但是引起該問題的一個原因是在測試中沒有安全測試，而安全測試的標(biāo)準(zhǔn)，方法都沒有。因此今天將之前工作中參與過的安全測試以及從網(wǎng)上查閱到有關(guān)安全測試的資料進(jìn)行整理。有不足的之處，盡情諒解。

二、軟件權(quán)限

1）扣費風(fēng)險：瀏覽網(wǎng)頁，下載，等情況下是否會扣費，一般在游戲APP，和社交APP等需要考慮這些。

2）隱私泄露風(fēng)險。例如在我們安裝APP應(yīng)用時通常會看到"xx要讀取手機通訊錄"等提示，這些提示可以提示用戶拒絕接受，這些是APP測試中的測試點。

3）校驗input輸入。對于APP有輸入框的要對輸入的信息進(jìn)行校驗，比如密碼不能顯示明文。在測試中紅人館注冊時需要對input進(jìn)行測試。

4）限制/允許使用手機功能接人互聯(lián)網(wǎng)，收發(fā)信息，啟動應(yīng)用程序，手機拍照或者錄音，讀寫用戶數(shù)據(jù)。這個在通信行業(yè)用的比較多，比如展訊，高通等芯片廠商，他們在出廠芯片時要對手機各個功能進(jìn)行測試。

三、代碼安全性

之所以單獨拿出來說，是因為在SDK測試過程中SDK代碼被第三方工具檢測出游病毒代碼，這樣一來就會影響輸入法的使用。因此在后續(xù)測試中要嘗試加入安全性測試。

四、安裝與卸載安全性

1）應(yīng)用程序應(yīng)能正確安裝到設(shè)備驅(qū)動程序上

2）能夠在安裝設(shè)備驅(qū)動程序上找到應(yīng)用程序的相應(yīng)圖標(biāo)。在SDK測試項目中發(fā)現(xiàn)有些設(shè)備受權(quán)限的問題，無法下發(fā)圖標(biāo)創(chuàng)建快鏈。

3）是否包含數(shù)字簽名信息。在SDK測試項目中基本上沒有，但是在輸入法打包和主線版本上存在這樣的測試。

4）安裝路徑應(yīng)能指定

5）沒有用戶的允許應(yīng)用程序不能預(yù)先設(shè)定自動啟動

6）卸載是否安全，其安裝進(jìn)去的文件是否全部卸載

7）卸載用戶使用過程中產(chǎn)生的文件是否有提示

8）其修改的配置信息是否復(fù)原

9）卸載是否影響其他軟件的功能

10）卸載應(yīng)該移除所有的文件

11）安裝包的存放。在SDK下載安裝包的測試中我們經(jīng)常會看到下載下來的包后面有四個隨機的字符串，這個的目的是為了防止第三方工具惡意刪除安裝包的問題。

在SDK測試項目中有專門針對下載安裝卸載的用例，對安裝的路徑和下載的文件夾路徑等有相關(guān)的測試，測試結(jié)果頁表明，某些手機（例如華為mate1）在刪除了某個下載路徑文件夾之后受權(quán)限應(yīng)用不會自動創(chuàng)建。

五、數(shù)據(jù)安全性

1)當(dāng)將密碼或其他的敏感數(shù)據(jù)輸人到應(yīng)用程序時，其不會被儲存在設(shè)備中，同時密碼也不會被解碼

2)輸人的密碼將不以明文形式進(jìn)行顯示

3)密碼，信用卡明細(xì)，或其他的敏感數(shù)據(jù)將不被儲存在它們預(yù)輸人的位置上

4)不同的應(yīng)用程序的個人身份證或密碼長度必需至少在4一8個數(shù)字長度之間

5)當(dāng)應(yīng)用程序處理信用卡明細(xì)，或其他的敏感數(shù)據(jù)時，不以明文形式將數(shù)據(jù)寫到其它單獨的文件或者臨時文件中。以防止應(yīng)用程序異常終止而又沒有刪除它的臨時文件，文件可能遭受人侵者的襲擊，然后讀取這些數(shù)據(jù)信息。

6)當(dāng)將敏感數(shù)據(jù)輸人到應(yīng)用程序時，其不會被儲存在設(shè)備中

7)備份應(yīng)該加密，恢復(fù)數(shù)據(jù)應(yīng)考慮恢復(fù)過程的異常通訊中斷等，數(shù)據(jù)恢復(fù)后再使用前應(yīng)該經(jīng)過校驗

8)應(yīng)用程序應(yīng)考慮系統(tǒng)或者虛擬機器產(chǎn)生的用戶提示信息或安全警告

9)應(yīng)用程序不能忽略系統(tǒng)或者虛擬機器產(chǎn)生的用戶提示信息或安全警告，更不能在安全警告顯示前，利用顯示誤導(dǎo)信息欺騙用戶，應(yīng)用程序不應(yīng)該模擬進(jìn)行安全警告誤導(dǎo)用戶

10)在數(shù)據(jù)刪除之前，應(yīng)用程序應(yīng)當(dāng)通知用戶或者應(yīng)用程序提供一個"取消"命令的操作

11)"取消"命令操作能夠按照設(shè)計要求實現(xiàn)其功能

12)應(yīng)用程序應(yīng)當(dāng)能夠處理當(dāng)不允許應(yīng)用軟件連接到個人信息管理的情況

13)當(dāng)進(jìn)行讀或?qū)懹脩粜畔⒉僮鲿r， 應(yīng)用程序?qū)蛴脩舭l(fā)送一個操作錯誤的提示信息

14)在沒有用戶明確許可的前提下不損壞刪除個人信息管理應(yīng)用程序中的任何內(nèi)容

15)應(yīng)用程序讀和寫數(shù)據(jù)正確。

16)應(yīng)用程序應(yīng)當(dāng)有異常保護(hù)。

17)如果數(shù)據(jù)庫中重要的數(shù)據(jù)正要被重寫，應(yīng)及時告知用戶

18)能合理地處理出現(xiàn)的錯誤

19)意外情況下應(yīng)提示用戶

20)HTTP、HTTPS覆蓋測試。在測試中我們經(jīng)常會遇到與請求的加密解密測試，以確保產(chǎn)品的安全性

APP測試需要關(guān)注哪些點

功能測試：這個不用過多解釋，就是點點點，保證頁面的功能實現(xiàn)，沒有業(yè)務(wù)邏輯方面問題。

UI測試：主要關(guān)注頁面顏色是否舒服，布局是否合理，有無錯別字等等。

兼容性測試：就是測試你的app程序在不同手機品牌上面是否能正常運行，頁面布局如何，是否亂序。需要覆蓋到目前市場上面主流的手機類型，最好使用真機測試，不推薦模擬器。還需要考慮不同操作系統(tǒng)版本對于程序的影響。

場景測試：使用App時要考慮到各種不同的使用場景，比如正在使用app，來電話或者短信了程序如何應(yīng)對？正在聽音樂，app也有個播放功能和喇叭發(fā)生資源搶奪怎么辦？以及不同應(yīng)用程序之間的切換和前后臺切換等等。

性能測試：考慮內(nèi)存，耗電量，安裝包大小，流量耗用多少以及響應(yīng)事件的快慢等等......?

弱網(wǎng)測試：不同類型2g，3g，4g，5g的移動流量或者是wifi模式下程序的運行情況。網(wǎng)絡(luò)速度極差或者斷網(wǎng)的情況下，程序運行狀況等等。

安裝/卸載/更新：需要考慮卸載時是否要保留用戶數(shù)據(jù)？更新的話是提示更新還是強制更新？更新過程中手機沒電關(guān)機或者用戶關(guān)閉退出等等。

權(quán)限測試：主要是用戶關(guān)閉了某項權(quán)限時，程序是否還能正常使用；是否可以訪問通訊錄，相冊，錄音等；以及檢測App的用戶授權(quán)級別，數(shù)據(jù)泄露，非法授權(quán)訪問等。?

穩(wěn)定性測試：避免程序出現(xiàn)卡頓，閃退，崩潰等現(xiàn)象，這個可以使用工具比如monkey自動頻繁快速操作各個功能檢測程序穩(wěn)定性。

安全測試：應(yīng)用是否保存敏感數(shù)據(jù)到本地，應(yīng)用與服務(wù)器之間的數(shù)據(jù)傳輸是否加密。如果金融類的涉及錢的應(yīng)用，重點測試，支付接口是否能被外部調(diào)用偽造等。

大概列了一下App測試需要注意的常見的測試點，僅供參考。最后說一下，app測試工具有哪些：

adb：?安卓手機的官方檢測工具，用來操作安卓系統(tǒng)。

monkey：可以無規(guī)律的模擬用戶操作，檢測程序運行的穩(wěn)定性。

monkey ?runner：可以自己寫腳本模擬用戶進(jìn)行操作，更加的靈活。

Appium:?app自動化框架，適用于python/java語言。

如何做好app的測試工作?測試流程中都包含哪些方面?

騰訊有個平臺可以實現(xiàn)適配兼容、服務(wù)器壓力、性能測試、弱網(wǎng)絡(luò)、耗電量測試等等，挺全面的。WeTest騰訊質(zhì)量開放平臺，本人親測過體驗還不錯。

下面說一下測試一個App具體包括哪些方面，以及每個方面的關(guān)鍵點。

測試人員常被看作bug尋找者，但你曾想過他們實際是如何開展測試的嗎？你是否好奇他們究竟都做些什么，以及他們?nèi)绾卧谝粋€典型的技術(shù)項目中體現(xiàn)價值？本文將帶你經(jīng)歷測試人員的思維過程，探討他們測試app時的各種考慮。本文的目的在于揭示測試人員的這一思維過程，并展示他們通常所考慮內(nèi)容的廣度和深度。

本文是基于我的工作經(jīng)驗而寫的，作為一名敏捷軟件開發(fā)團(tuán)隊的測試經(jīng)理，我一心投入測試工作。在與其他app測試專家交流的過程中，我深刻了解到app測試工作的困難。在日常工作的摸索中，我將如何做好app的測試歸結(jié)為如下內(nèi)容。

(1) ? 非功能測試

app測試的一個重要方面是app的非功能需求。移動app在推出市場或進(jìn)行進(jìn)一步開發(fā)前，測試人員有一定的職責(zé)做該類需求的跟蹤工作。

早期開發(fā)階段要進(jìn)行的第一個測試應(yīng)該是實用性測試。通常是由alpha用戶或同事進(jìn)行的。走進(jìn)一家咖啡館或餐廳，問問里面的人他們的app使用情況。讓他們看看現(xiàn)階段開發(fā)的第一個版本并收集反饋，看看用戶是否能很好地使用新功能，以便得出第一印象。

(2) ? 功能測試

每項開發(fā)的新功能都需要進(jìn)行測試。app測試中功能測試是一個重要方面。測試人員應(yīng)該要進(jìn)行手動測試和后期的自動化測試維護(hù)。剛開始測試時，測試員必須把app當(dāng)做"黑盒"一樣進(jìn)行手動測試，看看提供的功能是否正確并如設(shè)計的一樣正常運作。除了經(jīng)典軟件測試，像點擊按鈕、提交訂單看看會發(fā)生什么，測試員還必須執(zhí)行更多功能的app測試。

除了整個手動測試過程，測試自動化對移動app也很重要。每個代碼變化或新功能都可能影響現(xiàn)存功能及它們的狀態(tài)。通常手動回歸測試時間不夠，所以測試員不得不找一個工具去進(jìn)行自動化回歸測試?，F(xiàn)在市面上有很多自動化測試工具，有商業(yè)的也有開源的，面向各個不同平臺，如Android，iPhone，WindowsPhone7，BlackBerry以及移動Webapp。根據(jù)開發(fā)策略和結(jié)構(gòu)，品質(zhì)管理測試專家需找出最適合他們環(huán)境的自動化工具。

(3) ? 客戶端性能測試

一個App做的好不好，不僅僅只反應(yīng)在功能上。被測的app在中低端機上的性能表現(xiàn)也很重要。比如：一個很好玩的游戲或應(yīng)用，只能在高端機上流暢運行，在中低端機上卡的不行，也不會取得好的口碑。

關(guān)于App的性能測試，我們比較關(guān)注的參數(shù)有：CPU，內(nèi)存，耗電量，流量，F(xiàn)PS。同時也需關(guān)注一下App的安裝耗時和啟動耗時。

目前大家可能比較困惑的一個問題，多高的CPU，內(nèi)存，耗電量，流量，F(xiàn)PS才算是符合發(fā)布的值呢？這里可以告訴大家，可以參考精品游戲的一些數(shù)值，將自己研發(fā)的app與業(yè)內(nèi)精品的app數(shù)據(jù)做對比。

(4) ? 適配兼容測試

市面上目前存在的移動設(shè)備五花八門，下圖列出過去12個月的移動設(shè)備品牌占比情況。

? App在經(jīng)過功能測試后，也需對其進(jìn)行適配兼容測試需要檢查的項主要有以下幾點：

(a) 在不同平牌的機型上的安裝、拉起、點擊和卸載是否正常；

(b) 在不同的操作系統(tǒng)上的安裝、拉起、點擊和卸載是否正常；

我們在實際測試中，常常會遇到下列問題：

(a) 在某個平牌某個系統(tǒng)上，app安裝不上；

(b) 在某個平牌某個系統(tǒng)上，app無法拉起；

(c) 在某個平牌某個系統(tǒng)上，app拉起后無響應(yīng)或拉起后黑屏、花屏；

(d) 在某個平牌某個系統(tǒng)上，app無法順利卸載；

騰訊WeTest這個產(chǎn)品可以實現(xiàn)多款熱門機型的適配兼容測試。

(5) ? 弱網(wǎng)絡(luò)測試

App在使用的過程中，難免會遇到弱網(wǎng)絡(luò)環(huán)境，例如在公車上、在地鐵里。在這種情況下，常常會出現(xiàn)網(wǎng)絡(luò)抖動、上行或下行超時，導(dǎo)致應(yīng)用中出現(xiàn)丟包。

作為一個測試人員，我們要對app在上線前做一定場景的弱網(wǎng)絡(luò)環(huán)境模型，并查看app在弱網(wǎng)絡(luò)環(huán)境下是否存在某些未知的問題。下面是我們常用的弱網(wǎng)絡(luò)環(huán)境場景：

(a) 3G弱網(wǎng)絡(luò)信號場景模擬；

(b) 市區(qū)低速移動場景模擬；

(c) 郊區(qū)高速移動場景模擬；

(d) 請求回應(yīng)超時_上行超時場景模擬；

(e) 請求回應(yīng)超時_下行超時場景模擬；

(f) 網(wǎng)絡(luò)抖動場景模擬；

這個工具也可以解決

(6) ? 耗電量測試

App在手機上的表現(xiàn)，除了功能外，app是否耗電，也是測試過程中重點要關(guān)注的一項。手機設(shè)備在滿電的時候，這個App能玩多久；App每小時的耗電是多少；App在某個場景掛機10分鐘耗電量是多少；這些都是我們平時在耗電量測試中比較關(guān)注的點。

(7) ? 協(xié)議測試

模擬客戶端直接發(fā)送協(xié)議包給服務(wù)器，看看服務(wù)器是否有一定的校驗，認(rèn)不認(rèn)客戶端發(fā)過來的數(shù)據(jù)。協(xié)議測試，主要是為了處理用戶發(fā)送惡意協(xié)議到服務(wù)器，騙過服務(wù)器的校驗。

(8) 安全測試

App在上線前，都需要做詳細(xì)的安全測試。安全測試主要為了檢測應(yīng)用是否容易被外界破解；是否存在被惡意代碼注入的風(fēng)險；上線后外掛的風(fēng)險高不高等。

(9) 服務(wù)器性能測試

服務(wù)器性能測試，主要包含單機容量測試和24小時穩(wěn)定性測試。單機容量測試，可以檢測到單機服務(wù)器在90%的響應(yīng)時間和成功率都達(dá)標(biāo)的前提下，能夠承載多少用戶量。使用特定游戲模型壓測24小時，服務(wù)無重啟，內(nèi)存無泄漏，并且各事務(wù)成功率達(dá)標(biāo)。

這個可以在WeTest入口預(yù)約。

(10) 服務(wù)器容災(zāi)測試

服務(wù)器容災(zāi)測試，主要指某個服務(wù)進(jìn)程奔潰掉后，是否具有自行恢復(fù)能力。比如游戲邏輯進(jìn)程消失后，是否會自動拉起；memcached崩潰時，是否會重新啟動，是否會對所有玩家有影響。這些都是app測試過程中需要考慮的因素。

(11) 中斷測試

針對智能終端應(yīng)用的服務(wù)等級劃分方式及實時特性所提出的測試方法，如：App在前臺和后臺運行狀態(tài)時與來電、文件下載、音樂收聽等關(guān)鍵運用的交互情況測試等。測試電話，短信，彩信，微博或其他通知進(jìn)來時app的反應(yīng)。

(12) 上線后期的輿情跟蹤

新的app上線后，用戶對此應(yīng)用的評價，存在哪些測試期間未察覺的Bug，論壇上對于該應(yīng)用熱門的帖子有哪些，應(yīng)用商店中該應(yīng)用的口碑如何等，都是app在上線后，測試人員需要關(guān)注的點。若需要測試期間未發(fā)現(xiàn)的Bug，需要新測試服進(jìn)行確認(rèn)并根據(jù)該問題的修復(fù)。

?很高興看到騰訊在研發(fā)生產(chǎn)資料，而不是產(chǎn)品，好的企業(yè)應(yīng)該積累出自己的工具鏈，并造福生態(tài)圈！最后祝大家都能把手下的app測試工作做好！