原創|行業資訊|編輯:龔雪|2014-06-11 09:39:01.000|閱讀 521 次
概述:iOS應用程序因為其特殊性,被攻擊的可能也是很高的。在開發過程中,需要從三個方面考慮程序安全性。
# 界面/圖表報表/文檔/IDE等千款熱門軟控件火熱銷售中 >>
程序文件的安全
iOS 應用的大部分邏輯都是在編譯后的二進制文件中,但由于近年來混合式(Hybrid)編程方式的興起,很多應用的部分功能也采用內嵌Web瀏覽器的方式來實 現。例如騰訊QQ iOS客戶端的內部,就有部分邏輯是用Web方式實現的。由于iOS安裝文件其實就是一個zip包,所以我們可以通過解壓,看到包內的內容。以下是我解開 騰訊QQ客戶端,看到的其qqapi.js文件的內容。
可以看到,這些文件都有著完整清晰的注釋。通過分析這些JavaScript文件,黑客可以很輕松地知道其調用邏輯。在越獄手機上,還可以修改這些JavaScript代碼,達到攻擊的目的。
我也曾嘗試查看支付寶客戶端中的彩票功能,通過分析,也可以找到其完整的、帶著清晰注釋的JavaScript代碼,如圖3所示(支付寶現在已對相應代碼進行了加密)。
圖3 支付寶應用內的JavaScript文件
通過將JavaScript源碼進行混淆和加密,可以防止黑客輕易地閱讀和篡改相關的邏輯,也可以防止自己的Web端與Native端的通信協議泄漏。
本地數據安全
iOS 應用的數據在本地通常保存在本地文件或本地數據庫中。如果對本地的數據不進行加密處理,很可能被黑客篡改。比如一款名為《LepsWorld 3》的游戲,打開它的本地文件,可以很容易地找到,它使用了一個名為ItempLifes的變量保存生命數值(如圖4所示)。于是我們可以簡單修改該值, 達到修改游戲參數的目的。而在某寶上,也可以找到許多以此掙錢的商家。對于本地的重要數據,我們應該加密存儲或將其保存到keychain中,以保證其不被篡改。
圖4 《LepsWorld 3》的本地數據
資源分享:
原文地址://www.csdn.net/article/2014-05-28/2819994
通信安全工具:
IP*Works! Internet Toolkit v9.0
IP*Works! S/MIME v9.0 IP*Works! SSH IP*Works! SSL
代碼混淆工具:
.NET Reactor v4.9 Dotfuscator DashO Pro v7.3
本站文章除注明轉載外,均為本站原創或翻譯。歡迎任何形式的轉載,但請務必注明出處、不得修改原文相關鏈接,如果存在內容上的異議請郵件反饋至chenjj@fc6vip.cn