APP漏洞自动化扫描专业评测报告（下篇）

上篇、中篇回顾：通过收费情况、样本测试后的扫描时间、漏洞项对比以及扫描能力这几个方面对阿里聚安全[1]、360App漏洞扫描[2]、腾讯金刚审计系统[3]、百度移动云测试中心[4]以及AppRisk Scanner[5]进行了对比分析。作为本系列的最后一篇，我将会以4个随机选取的APP的测试结果来进行对比。

四、扫描结果对比

---

选取的APP：说明一下这次选择的四个app是根据下载和安装量来选择，分别在网络工具类、天气、社交资讯类和搜索工具类选择了下载量和安装量最大的。出于对应用的隐私保护这里把最后选定的应用名隐去暂时叫做A应用。

评测方法：将以上4个APP分别上传到五家扫描平台，都分别得到5家平台的扫描速度和结果。除了在上篇中对比扫描时间外，这里还要对5家的扫描结果进行对比。但是实际操作下来4个APP的对比工作量实在太大，所以我最后从工作量小易于分析的原则出发，选择了A应用来最为结果对比。

下面我将以A应用的扫描结果为例，详细分析一下各个平台的扫描结果的漏报和误报，从而评估其扫描结果的可信度。

A应用的扫描结果如表4-1所示。

表4-1扫描结果总览

<

	阿里	360	金刚	百度	AppRisk
WebView绕过证书校验漏洞	2		2	1
WebView组件远程代码执行漏洞	2		2	3	2
中间人攻击（Allow All host name）	1			1
备份功能开启风险	1	1	1	1	1
主机名弱校验	1	1	1	1
证书弱校验	4		2	4	1
拒绝服务	3		1
Intent协议解析越权漏洞	1
AES/DES弱加密	1			15
初始化IVParameterSpec函数出错	9