文档介绍：APP测试方案
移动APP平安评估
范围
开发单位统筹建设的1款移动APP软件〔包括APP内嵌的安卓版和IOS版应用〕以及APP管理平台。
实施内容
随着互联网时代的到来，智能手机和iPad等移动终端设备越来越普及，人们逐致，这些漏洞会引发攻击者轻易劫持https会话、嗅探用户密码和其他敏感信息等问题。
很多android函数的参数需慎用，如常用函数openFileOutput，，就容易泄露android app的数据。另外，接口处理需要更加严谨，例如暴露了一个接口，允许运行用户输入的信息，假设对信息未做任何处理，就容易引起拒绝效劳攻击等平安问题。
2〕 Android上0day的发现
Android上0day的发现，可导致Android APP以前平安的功能变得不平安，在Android系统没有补丁的情况下，需及时在Android APP上打补丁，但鉴于很多Android APP开发者对漏洞信息不敏感等原因，并未做到及时修补，从而导致漏洞的存在。
方案投入6名技术人员到移动APP平安评估中，并由省重点实验室的专家团队负责实施过程中技术问题的咨询与指导。由一名具有10年以上信息平安方面工作经验的高级工程师作为工程经理，具体负责该团队工作分工、工作的质量及进度控制，并与开发单位信息中心的联系人第一时间沟通平安效劳中发现的问题以及整改的相关建议。云平台平安核查的人员安排如表所示：
人员安排一览表
姓名
职务
分工
所属机构
陈力帅
组长
实施方案和实施方案
平安检查组
朱晨鸣
组员
移动APP软件安卓版平安检测
严丹
组员
移动APP软件IOS版平安检测
姓名
职务
分工
所属机构
闻宏强
组员
APP管理平台平安评估方案
鲍克
组员
APP管理平台平安评估
赖海超
组员
拟对开发单位统筹建设的1款APP移动软件〔包含APP内嵌的安卓版和IOS版应用〕进行平安检测，检测其SQL注入、中间件/Server漏洞、XSS盲打后台、远程代码执行、接口权限控制、敏感文件备份、越权操作、弱口令等；对APP管理平台进行平安评估，评估其在身份标识和鉴别机制、授权访问和控制功能、平安审计功能、输入输出的数据验证功能、系统自动保护功能、会话管理等方面的平安控制措施，提供整改意见并出具检测报告。
移动APP软件
拟从平安检测、风险评估和漏洞扫描三方面对移动APP软件进行平安评估。
平安检测
平安检测是为了查看apk应用内部行为是否符合平安标准，这些内部行为可能导致信息泄露、权限混乱、带有敏感内容、带有病毒或者广告等，具体见表。
平安检测一览表
风险评估
检测apk当前的实现可能面临的外部攻击风险，此类风险是目前apk应用环境中常见的平安隐患，可以利用其进行二次打包，盗取敏感数据等非法操作，具体见表。
风险评估一览表
漏洞扫描
分析apk在业务实现中可被利用的技术漏洞，黑客可以通过这些漏洞直接对应用进行攻击，越权操作，破坏应用等，。
漏洞扫描一览表
APP管理平台
依据?GB/T18336 信息技术 平安技术 信息技术平安性评估准那么?和GB/T 22239-2022 ?信息平安技术 信息系统平安等级保护根本要求?检测APP管理平台在身份标识和鉴别机制、口令复杂度检查功能、登陆失败处理功能、授权访问和控制功能、敏感信息标记功能、平安审计功能、输入输出的数据验证功能、系统自动保护功能、敏感数据传输和存储过程中的加密功能、配置管理、会话管理、异常管理等十二方面的平安控制措施。具体见表。
APP管理平台检测一览表
序号
测评指标
测评项
检查方法
1
身份
鉴别
a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别；
a) 检查应用是否有登陆模块；
b) 检查用户是否可通过该模块进行身份鉴别。
序号
测评指标
测评项
检查方法
b) 应提供用户身份标识唯一检查功能，保证应用系统中不存在重复用户身份标识。
a) 向管理员询问用户的唯一身份标识符，并新建一个与现有用户身份标识符重复的用户。
2
口令复杂度检查
a〕应提供用户身份鉴别信息复杂度检查功能，保证应用系统中身份鉴别信息不被冒用。
a) 检查用户口令是否有复杂度要求；
3
鉴别失败
a) 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。
a) 输入错误口令，检查登录失败的处理方式；
b) 访谈管理员屡次登录失败后的处