移动安全 – 攻击媒介

根据定义，攻击向量是黑客用来访问另一个计算设备或网络以注入通常称为有效载荷的“不良代码”的方法或技术。此向量可帮助黑客利用系统漏洞。许多这些攻击媒介利用了人为因素，因为它是该系统的最弱点。以下是攻击向量过程的示意图，黑客可以同时使用多个攻击向量。

一些移动攻击媒介是 –

• 恶意软件

  • 病毒和Rootkit

  • 应用修改

  • 操作系统修改

• 数据泄露

  • 数据离开组织

  • 打印屏幕

  • 复制到 USB 和备份丢失

• 数据篡改

  • 由另一个应用程序修改

  • 未检测到的篡改尝试

  • 越狱设备

• 数据丢失

  • 设备丢失

  • 未经授权的设备访问

  • 应用程序漏洞

攻击向量的后果

攻击向量是所解释的黑客过程，它是成功的，以下是对您的移动设备的影响。

• 丢失您的数据– 如果您的移动设备被黑客入侵或引入了病毒，那么您存储的所有数据都会丢失并被攻击者夺走。

• 移动资源使用不当– 这意味着您的网络或移动设备可能会过载，因此您无法访问真正的服务。在更糟糕的情况下，被黑客用来连接另一台机器或网络。

• 声誉损失– 如果您的 Facebook 帐户或企业电子邮件帐户被黑客入侵，黑客可以向您的朋友、业务合作伙伴和其他联系人发送虚假消息。这可能会损害您的声誉。

• 身份盗窃– 可能存在身份盗窃的情况，例如照片、姓名、地址、信用卡等，同样可用于犯罪。

移动攻击剖析

以下是移动攻击解剖结构的示意图。它从感染阶段开始，其中包括攻击媒介。

感染设备

对于 Android 和 iOS 设备，使用移动间谍软件感染设备的执行方式不同。

Android – 通常通过使用社会工程攻击来欺骗用户从市场或第三方应用程序下载应用程序。远程感染也可以通过中间人 (MitM) 攻击来执行，在这种攻击中，活跃的对手会拦截用户的移动通信以注入恶意软件。

iOS – iOS 感染需要对手机进行物理访问。也可以通过利用零日漏洞（例如 JailbreakME 漏洞）来感染设备。

安装后门

安装后门需要管理员权限，通过生根安卓设备和越狱苹果设备。尽管设备制造商设置了生根/越狱检测机制，但移动间谍软件很容易绕过它们 –

Android – 生根检测机制不适用于有意生根。

iOS – 越狱“社区”是喧闹和积极的。

绕过加密机制并泄露信息

间谍软件以纯文本形式向攻击者服务器发送加密电子邮件和消息等移动内容。间谍软件不会直接攻击安全容器。它在用户从安全容器中提取数据以读取数据时获取数据。在那个阶段，当内容被解密以供用户使用时，间谍软件会控制内容并将其发送出去。

黑客如何从成功受损的移动设备中获利？

在大多数情况下，我们大多数人都认为如果我们的手机被黑客入侵，我们可能会失去什么。答案很简单——我们将失去隐私。我们的设备将成为黑客观察我们的监视系统。黑客的其他获利活动是获取我们的敏感数据、付款、进行DDoS 攻击等非法活动。以下是示意图。

OWASP 移动 10 大风险

在谈到移动安全时，我们将漏洞类型基于 OWASP，这是一个在美国成立的非营利慈善组织，于 4 月 21 日成立。 OWASP 是一个国际组织，OWASP 基金会支持 OWASP 在世界各地的工作。

对于移动设备，OWASP 有10 个漏洞分类。

M1-平台使用不当

此类别涵盖滥用平台功能或未能使用平台安全控制。它可能包括 Android 意图、平台权限、TouchID 的滥用、钥匙串或作为移动操作系统一部分的其他一些安全控制。移动应用程序可以通过多种方式遇到这种风险。

M2-不安全数据

这个新类别是 2014 年移动十强中 M2 和 M4 的组合。这包括不安全的数据存储和意外的数据泄漏。

M3-不安全通信

这包括糟糕的握手、不正确的 SSL 版本、弱协商、敏感资产的明文通信等。

M4-不安全认证

此类别捕获验证最终用户或错误会话管理的概念。这包括 –

• 在需要时根本无法识别用户
• 在需要时未能维护用户的身份
• 会话管理的弱点

M5-不充分的密码学

该代码将密码学应用于敏感信息资产。然而，密码学在某种程度上是不够的。请注意，与 TLS 或 SSL 相关的任何内容都在 M3 中。此外，如果应用程序在它应该使用的时候根本没有使用加密，那可能属于 M2。此类别用于尝试加密但未正确完成的问题。

M6-不安全授权

这是一个类别，用于捕获授权中的任何失败（例如，客户端的授权决定、强制浏览等）。它不同于身份验证问题（例如，设备注册、用户识别等）。

如果应用程序在它应该的情况下根本没有对用户进行身份验证（例如，在需要经过身份验证和授权访问时授予对某些资源或服务的匿名访问权限），那么这是身份验证失败而不是授权失败。

M7-客户端代码质量

这是“通过不受信任的输入做出的安全决策”，这是我们较少使用的类别之一。这将是移动客户端中代码级实现问题的全部。这与服务器端编码错误不同。这将捕获诸如缓冲区溢出、格式字符串漏洞和各种其他代码级错误之类的问题，解决方案是重写一些在移动设备上运行的代码。

M8-代码篡改

此类别涵盖二进制修补、本地资源修改、方法挂钩、方法 swizzling 和动态内存修改。

一旦应用程序交付到移动设备，代码和数据资源就驻留在那里。攻击者可以直接修改代码、动态更改内存内容、更改或替换应用程序使用的系统 API，或者修改应用程序的数据和资源。这可以为攻击者提供一种直接方法来破坏软件的预期用途以获取个人或金钱利益。

M9-逆向工程

此类别包括对最终核心二进制文件的分析，以确定其源代码、库、算法和其他资产。IDA Pro、Hopper、otool 和其他二进制检查工具等软件可以让攻击者深入了解应用程序的内部工作原理。这可用于利用应用程序中的其他新生漏洞，以及泄露有关后端服务器、加密常量和密码以及知识产权的信息。

M10-无关的功能

通常，开发人员包含隐藏的后门功能或其他不打算发布到生产环境中的内部开发安全控制。例如，开发人员可能会不小心在混合应用程序中包含密码作为评论。另一个示例包括在测试期间禁用 2 因素身份验证。