原創(chuàng)|行業(yè)資訊|編輯:龔雪|2014-06-11 09:39:01.000|閱讀 521 次
概述:iOS應(yīng)用程序因?yàn)槠涮厥庑裕还舻目赡芤彩呛芨叩?。在開發(fā)過程中,需要從三個(gè)方面考慮程序安全性。
# 界面/圖表報(bào)表/文檔/IDE等千款熱門軟控件火熱銷售中 >>
程序文件的安全
iOS 應(yīng)用的大部分邏輯都是在編譯后的二進(jìn)制文件中,但由于近年來混合式(Hybrid)編程方式的興起,很多應(yīng)用的部分功能也采用內(nèi)嵌Web瀏覽器的方式來實(shí) 現(xiàn)。例如騰訊QQ iOS客戶端的內(nèi)部,就有部分邏輯是用Web方式實(shí)現(xiàn)的。由于iOS安裝文件其實(shí)就是一個(gè)zip包,所以我們可以通過解壓,看到包內(nèi)的內(nèi)容。以下是我解開 騰訊QQ客戶端,看到的其qqapi.js文件的內(nèi)容。
可以看到,這些文件都有著完整清晰的注釋。通過分析這些JavaScript文件,黑客可以很輕松地知道其調(diào)用邏輯。在越獄手機(jī)上,還可以修改這些JavaScript代碼,達(dá)到攻擊的目的。
我也曾嘗試查看支付寶客戶端中的彩票功能,通過分析,也可以找到其完整的、帶著清晰注釋的JavaScript代碼,如圖3所示(支付寶現(xiàn)在已對(duì)相應(yīng)代碼進(jìn)行了加密)。
圖3 支付寶應(yīng)用內(nèi)的JavaScript文件
通過將JavaScript源碼進(jìn)行混淆和加密,可以防止黑客輕易地閱讀和篡改相關(guān)的邏輯,也可以防止自己的Web端與Native端的通信協(xié)議泄漏。
本地?cái)?shù)據(jù)安全
iOS 應(yīng)用的數(shù)據(jù)在本地通常保存在本地文件或本地?cái)?shù)據(jù)庫(kù)中。如果對(duì)本地的數(shù)據(jù)不進(jìn)行加密處理,很可能被黑客篡改。比如一款名為《LepsWorld 3》的游戲,打開它的本地文件,可以很容易地找到,它使用了一個(gè)名為ItempLifes的變量保存生命數(shù)值(如圖4所示)。于是我們可以簡(jiǎn)單修改該值, 達(dá)到修改游戲參數(shù)的目的。而在某寶上,也可以找到許多以此掙錢的商家。對(duì)于本地的重要數(shù)據(jù),我們應(yīng)該加密存儲(chǔ)或?qū)⑵浔4娴絢eychain中,以保證其不被篡改。
圖4 《LepsWorld 3》的本地?cái)?shù)據(jù)
資源分享:
原文地址://www.csdn.net/article/2014-05-28/2819994
通信安全工具:
IP*Works! Internet Toolkit v9.0
IP*Works! S/MIME v9.0 IP*Works! SSH IP*Works! SSL
代碼混淆工具:
.NET Reactor v4.9 Dotfuscator DashO Pro v7.3
本站文章除注明轉(zhuǎn)載外,均為本站原創(chuàng)或翻譯。歡迎任何形式的轉(zhuǎn)載,但請(qǐng)務(wù)必注明出處、不得修改原文相關(guān)鏈接,如果存在內(nèi)容上的異議請(qǐng)郵件反饋至chenjj@fc6vip.cn