IoT 移动应用漏洞利用

IoT 移动应用漏洞利用

导师某天又丢了一个整理好框架的 PPT，道“框架我已经帮你做好啦，你只需要实现每部分内容即可”，好吧接下去边查边做。

---

---

前言

对于消费级以及部分商用 loT设备来说，通常都会提供与设备配套的移动应用来实现某些操作功能。例如，在车辆管理基础设施中，可以通过移动应用向服务器提交分析数据，也可以授权移动应用启动汽车引擎。在这些情况下，数据一般都会存储在移动应用当中，这就可能导致数据被攻击者利用继而执行非法操作。在开始针对移动应用的分析之前，测试人员首先需要获得该应用，随后才可以着手对其进行静态分析或者动态分析，如果条件具备的话，还可以重新将应用打包。本部分重点关注移动应用中常见漏洞的利用，进而评估 loT 设备移动应用的安全性。

---

一、简介

针对移动应用的安全性测试可以分为以下4个阶段：

• 应用映射(application mapping):应用映射主要涉及应用逻辑与应用的业务功能。可以将应用映射看作是针对应用的信息搜集，搜集到的信息在下一阶段中将会用到。
• 客户端攻击(client-side attack)：客户端攻击主要涉及存储在应用中的数据，以及如何从客户端对应用中存储的数据进行操作。
• 网络攻击(network attack):网络攻击则主要同网络层的安全隐患有关，例如是否采用了 SSL/TLS 协议，是否泄露了 XMPP 协议数据等。
• 服务端攻击(server attack):服务端攻击指的是在 API 测试中暴露出的 API 漏洞以及后端服务器配置错误。

常见漏洞包括：

• 硬编码的敏感信息。
• 冗余的日志信息。
• 会话管理漏洞。
• 敏感数据缓存。
• 不安全的数据存储。
• 数据泄露。
• API 通信。

这些常见漏洞固然同应用类型(本地应用或混合应用)有关，也有可能是采用了不安全的编码方式所导致。在本部分中，我们将在 Android 平台下对上面提及的大多数常见漏洞展开介绍。为简单起见，首先介绍移动应用的静态分析。而在对 loT 移动应用开展测试之前，首先需要获得该移动应用的二进制文件。

---

二、获取 IoT 移动应用

1.前言

对loT移动应用开展测试之前，首先需要获得该移动应用的二进制文件。在 Android 平台中，二进制文件或者程序包(package) —般称之为 Android 包或 APK 文件，而 iOS 平台中的二进制文件则称之为IPA (iOS App Store Package Archive)文件。

如果有机会从白盒测试角度对应用开展测试，那么甲方会直接将应用的原始二进制文件交给测试人员，此时测试人员也就没有必要绞尽脑汁来获取应用的二进制文件了。而如果出于研究目的从黑盒测试角度开展测试，那么就要好好想想怎样才能获取到应用的二进制文件了。

另外，对于 iOS 系统，获得开展黑盒测试所需的 IPA 文件就没那么简单了。同 Android 应用相比，iOS 应用没有类似的第三方应用商店可供选择。这是因为 iOS 应用均采用了苹果的 FairPlay DRM 算法进行加密。而如果没有解密工具，分析工作将具有一定的难度。

所以这篇文章是基于 Android 平台实现测试的。

2.测试流程

1. 下载安卓 APK 文件
   如果需要下载 Android 应用，用户只需要选择一个第三方应用商店，例如 https://apps.evozi.com或https:// apkpure.com，然后搜索目标应用，接着下载其 APK 文件即可，如图所示是在 https://apps.evozi.com 下载 Subaru 这款应用的 APK：