破解利润为一百万的汽车叫车软件的APP漏洞并不少见

最近，一些媒体爆发了: 大量的打车司机安装了作弊软件，规避平台规则，随机“抢订单”，“拒绝订单”，设置虚假的GPS定位，甚至收取更多的票价，不仅给公司造成了巨大的经济损失，而且还侵犯了乘客的利益.

但是，使用该作弊软件后，驾驶员的行为不受平台的控制，违反行为将不会受到惩罚，还将获得相应的奖励，从而给公司造成经济损失.

根据乘车公司的统计，在其平台上的1500万驾驶员中破解软件漏洞，可能有30,000多名驾驶员安装了该作弊软件，造成该公司的经济损失超过600万元.

成本有多低: 一个大学毕业生

根据的说法，该团伙的嫌疑人庞某（Pang Mou）发额初步超过100万元. 有关汽车租赁公司的负责人说，使用作弊软件的驾驶员将受到惩罚.

此案是通过移动应用的漏洞进行非法牟利的. 这种新型绝不会是第一例.

首先，让我们看一下国内移动应用安全性的现状:

根据普华永道的统计，早在2014年，中国移动的互联网就呈现爆炸性增长，年交易额超过20万亿元.

移动互联网的巨大机遇和利益也带来了巨大的风险.

当每个人都看高收益时，实际上还有另一个被所有人忽略的问题，即移动应用程序的安全性. APP中的安全漏洞远高于WEB平台上的安全漏洞，这可能是由于以下原因造成的.

1. 开发经验不足

2. 投资的时间和经济成本低

3. 缺少相关的安全人员

4. 开发人员和企业不关注安全问题

与WEB平台相比，APP的安全性需要提高. WEB安全性研究已有十多年的历史，而APP安全性研究只是在最近几年才得到普及，因此相应的缺乏安全性开发经验也需要弥补. 大多数制造商只关心其APP的功能，而忽略了APP的安全性，这导致其安全性投入的资金和时间太少，并相应地产生了许多安全漏洞.

与WEB安全性相比，APP的安全性研究门槛要高得多. 除了WEB安全测试的基础之外，还需要进行相关的代码反向研究和通信协议研究.

高门槛的存在导致缺乏相关的安全人员.

目前，中国已开始关注相关问题. 自7月以来，各种文件不断指出“网络安全是国家安全”的关键方向，移动应用程序的安全性是重中之重. 因此，北京鼎源科技（简称鼎源科技）已经整合了多年的专利技术积累和研发产品. 通过与北方科技大学Bes安全实验室的合作，它创造了高度和先进的技术. APP安全平台（），该平台需要包括APP漏洞检测，APP风险警告，APP安全检测，APP安全加固等.

BIS实验室的安全团队从数据传输安全性，数据存储安全性，敏感数据保护级别，APP代码保护强度，密码算法和协议安全性等100个顶级互联网公司中选择了100个Android应用程序性方面发现，几乎所有手机应用程序都存在安全问题. 这些安全问题可能会导致隐藏的风险，例如敏感用户信息的泄漏和纯文本密码的传输.

BIS实验室的安全团队选择了100个Internet移动应用程序应用程序进行了深入测试，发现了十个潜在的危险:

1. 以明文形式发送通信数据: 客户端APP与服务器之间交换的数据通过明文通信通道进行传输.

2. 通信数据可以解密: 客户端APP与服务器之间交换的数据经过加密和传输，但仍可以解密.

3. 敏感数据可以在本地解密: 客户端APP将敏感数据（例如登录密码，手势密码等）以纯文本格式存储在本地或加密存储中，但是可以通过反向分析程序来解密数据.

4. 调试信息泄漏: 客户端APP打印出有助于开发过程中调试的信息，并且该信息通常包含一些敏感参数和消息的纯文本.

5. 敏感信息泄漏: 敏感数据在客户端APP代码中泄漏，例如对称加密密钥，非对称加密中的私钥，用于身份验证的共享密钥，不应公开的后端服务器的管理地址等.

6. 密码术的滥用: 客户端APP代码中使用了不安全的密码实现，例如固定的硬编码对称加密破解软件漏洞，ECB模式下的对称加密，CBC模式下的IV固定以及不安全的公共密钥. 非对称加密等

7. 功能泄漏: 客户端APP中的高权限行为和功能（例如发送文本消息，阅读联系人等）不受安全保护，并被其他未经授权的应用程序调用或访问.

8. 可以重新打包: 在修改客户端APP之后，可以将代码重新打包并在市场上发布以供用户下载.

9. 可调试: 可以对客户端APP进行调试，以在运行时动态提取和修改程序数据和逻辑.

10. 可逆代码: 可以轻松获取和反转客户端APP的逻辑，以获取代码和程序中的敏感数据.

BeSec Lab的安全专家表示，此评估是基于测试的100个应用程序得出的，这些应用程序可以推断整个移动互联网行业的安全级别. 但是，一些较小的公司几乎没有能力保护应用程序的安全性. 保护它. 实际上，从悲观的角度来看，该行业的整体水平几乎等于“零”.

在这种几乎不受保护的网络环境下，移动互联网所产生的巨大利润将不可避免地成为目标.

因此，移动APP行业应具有严格的安全保护. BIS Labs的安全专家希望企业和开发人员可以改变其观念并培养安全意识. 在发布该应用之前，他们必须通过BIS Lab的APP安全性. 该平台会进行相关的安全检查或安全审核.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/shouji/article-255970-1.html