🔒 移动端安全测试

📌 一句话概括

手机银行App保留了大量用户敏感信息——登录密码、交易密码、生物特征、交易流水，一旦安全措施不到位后果严重。

💡 移动端安全测试重点

• 本地存储：密码/token是否明文存储在SharedPreferences/Keychain
• 通信安全：是否强制HTTPS、证书是否固定（SSL Pinning）
• 越狱/ROOT检测：被ROOT设备上是否正常运行
• 反编译保护：代码混淆、资源加密、动态调试检测
• 键盘保护：自定义安全键盘防止录屏

🔍 测试实战

1. 本地数据检测

操作：使用MobSF分析APK/IPA，检查本地存储配置和代码安全

工具：MobSF

2. 中间人攻击测试

操作：配置Burp Suite代理，检查HTTPS证书固定是否生效

⚠️ 常见坑点

1. SSL Pinning实现过于严格——证书更换后App无法联网
2. 日志中打印敏感信息——调试日志未在Release版本关闭
3. WebView存在XSS和JavaScript注入风险