前言
随着移动互联网的飞速发展,移动端产品满天飞,深入各行各业,移动端安全已经变得跟PC端安全同等重要地位。但由于移动端自身特性,移动端操作系统以及应用程序的安全性做的还不是很成熟。因此,我们在开发移动端App的时候,要尽量多地避免安全漏洞问题。本文主要是从预防的角度出发,介绍一个静态代码扫描工具,在编译阶段来提前发现代码的安全漏洞。
FindSecurityBugs简介
FindSecurityBugs是Java静态分析工具FindBugs的插件,通过一系列的规则发现代码中的Java安全漏洞。这个工具可以集成在很多IDE中,包括Eclipse或IntelliJ。目前这个项目已经在安全社区中获得了不少关注度。该工具的最新版本还增加了专门针对Android端产品的漏洞类型。因此,它也是一个不错的移动端安全扫描工具。如果你想更详细的了解它,可以去访问FindeSecurityBugs的Github社区。
FindSecurityBugs用法
由于FindSecurityBugs是FindBugs的一个插件,因此我们使用它的时候先要下载FindBugs工具。你可以去FindBugs的官方网站获取最新的安装包,这里就不介绍安装过程了。
一、命令行方式
示例:
./findbugs -textui -low -html -output myreport.html /Users/darylzhang/Downloads/findbugs-3.0.1/test/
下面是常见参数说明
-home 定义findbugs2软件存放位置
-low 提交警告及任何级别以上报告
-medium 提交中,高级报告(默认)
-high 只提交高级警告
-xml 警告以 xml输出
-html 警告以 html输出
-output 定义输出的文件名
-onlyAnalyze 只分析指定的 class/package
-exclude 忽略指定的 class/package (必修以 xml定义过滤的命名)
-include 只输出指定的 class/package (必修以xml定义过滤的命名)
二、集成到Eclipse插件
1. 系统要求
首先要在电脑上安装Eclipse 3.3以上的版本,且安装JRE/JDK 1.5以上版本。
2. 安装FindBugs插件
1)通过Eclipse的站点更新功能可以将FindBugs自动下载并安装到Eclipse插件。
2)目前提供三个FindBugs的下载地址:
- http://findbugs.cs.umd.edu/eclipse/ :这个地址只提供官方Release版本
- http://findbugs.cs.umd.edu/eclipse-candidate/ :提供最新的预发布版本
- http://findbugs.cs.umd.edu/eclipse-daily/ :提供最新的每日构建版本
3)你也可以直接通过以下地址下载:http://prdownloads.sourceforge.net/findbugs/edu.umd.cs.findbugs.plugin.eclipse_3.0.1.20150306.zip?download ,然后解压到Eclipse的插件目录
4)下载FindSecurityBugs扩展包
下载地址:http://h3xstream.github.io/find-sec-bugs/download.htm
5)安装FindSecurityBugs扩展包
- 打开Eclipse偏好设置
- 进入Java->FindBugs选项
- 找到插件选项卡,导入扩展包
3. 报告配置
进入报告配置页面设置要扫描的Bug级别,比如我们这里只关注安全类型的bug的话,就只勾选Security选项。并设置报告级别为low,这样就可以尽可能多的报告所有问题。
4. 开始扫描
右键点击要扫描的工程,找到Finde Bugs菜单项,选择Find Bugs开始扫描。如下图所示。
- 查看报告
扫描完成后,我们可以进入Bug Explorer查看结果报告,当然如果没看到这个窗口,我们可以在Window—>Show view—>others里面调出来。
FindSecurityBugs能扫描的问题
这里简单介绍几种FindSecurityBugs能扫描出来的Android漏洞类型。
1. 外部文件读写权限漏洞
应用程序具有写入外部存储(一般是SD卡)的权限。开通了这个权限会导致多个安全隐患。比如,应用程序可以通过READ_EXTERNAL_STORAGE权限来获取存储在本地SD卡的文件,如果这些数据包含用户敏感信息,而且没有加密的话,那将会造成用户隐私的泄密。
存在风险的代码片段:
file file = new File(getExternalFilesDir(TARGET_TYPE), filename);
fos = new FileOutputStream(file);
fos.write(confidentialData.getBytes());
fos.flush();
修复建议:
fos = openFileOutput(filename, Context.MODE_PRIVATE);
fos.write(string.getBytes());
2. 广播
Broadcast intents可以被任何拥有相关权限的应用程序截获,从而获得敏感信息。
存在风险的代码片段:
Intent i = new Intent();
i.setAction("com.insecure.action.UserConnected");
i.putExtra("username", user);
i.putExtra("email", email);
i.putExtra("session", newSessionId);
this.sendBroadcast(v1);
修复建议:
Intent i = new Intent();
i.setAction("com.secure.action.UserConnected");
sendBroadcast(v1);
3. 写文件权限
我们通过写权限MODE_WORLD_READABLE来写文件的时候,有可能会把文件的内容暴露出来,如下代码片段:
fos = openFileOutput(filename, MODE_WORLD_READABLE);
fos.write(userInfo.getBytes());
解决方案:
fos = openFileOutput(filename, MODE_PRIVATE);
4. Webview的Javascript执行权限
开通Webview的Javascript执行权限意味着为XSS开通了后门,页面的渲染有可能会被反射XSS,存储XSS和DOM XSS所劫持。如下代码片段开通了Javascript权限:
WebView myWebView = (WebView) findViewById(R.id.webView);
WebSettings webSettings = myWebView.getSettings();
webSettings.setJavaScriptEnabled(true);
这样,恶意代码可以通过如下的方式攻击你:
function updateDescription(newDescription) {
$("#userDescription").html(""+newDescription+"
");
}
5. Webview暴露Javascript接口
在Android代码中使用JavaScript接口,将会暴露本地的API。只要加一个XSS触发器,JavaScript代码就可以调用你的Java类。如下代码片段:
WebView myWebView = (WebView) findViewById(R.id.webView);
myWebView.addJavascriptInterface(new FileWriteUtil(this), "fileWriteUtil");
WebSettings webSettings = myWebView.getSettings();
webSettings.setJavaScriptEnabled(true);
[...]
class FileWriteUtil {
Context mContext;
FileOpenUtil(Context c) {
mContext = c;
}
public void writeToFile(String data, String filename, String tag) {
[...]
}
}
总结
代码扫描只是一种手段,毕竟规则有限,我们不能过分依赖。正在的移动安全还是需要我们的移动开发者增强安全意识,提高自己的代码防范能力,从而从代码源头避免安全漏洞。作为测试人员,也应该积极了解移动安全的常见漏洞,这样可以及早发现App的安全风险,保证产品的安全。