操作系统安全&数据库加固

• secureCAT。同时扫描数据库和操作系统测试报告比较清晰，还告诉了如何去手动校验
• ngs 扫描数据库
• nessus 扫描数据库

代码扫描

工具

• fortify。侧重代码质量
• coverity。侧重代码安全

手动搜索

• 日志不能打印敏感数据，可以全局正则搜索 user,token,pwd。最好和开发人员访谈确认关键词

隐私保护

• LBS 安全大师
• 根据《产品隐私权限列表》进行测试，每次使用个人数据时是否有授权提示框

apk 安全

• intent fuzzer 工具
• 根据 AndroidMainifest.xml 中的权限设置，是否有多于权限
• 其他 AndroidMainifest.xml 的默认设置，allowbackup,debug,私有 activity 的设置等
• rf explorer 管理器查看应用包里的属性，other 的权限应该是--。以及存储日志的关键字搜索等
• 抓包修改 apk 客户端的字段，fiddler
• 反编译。apktool+dex2jar+jd-gui 查看代码，搜索一些敏感关键字，无明文硬码密码，
• ddms 检查日志是否打印敏感信息

apk 病毒

• .McAfee Mobile Security

第三方类库扫描

• CVE
• CVSS 评分标准: 漏洞的最终得分最大为 10，最小为 0。得分 7~10 的漏洞通常被认为比较严重，得分在 4~6.9 之间的是中级漏洞，0~3.9 的则是低级漏洞。
• blackduck
• cvechecker

口令安全

• 加密验证。走读代码
• 其他。如每次的加密都是唯一的，不得使用 Random 函数作为秘钥，不得使用有规则的随机种子

证书安全

• 替换证书
• 证书到期
• 删除证书

web 安全

• sql 注入
  • AppCan
  • 手动注入 url,输入注入符号，如','',<!-- >,&
• 抓包改 cookie
• 手动执行。如，没权限的角色访问高级权限的 url
  • 抓包绕过验证码。服务器必须对验证码验证
  • 跨目录访问测试。抓包下载文件修改 url,如http://www.test/downlad/getPdf,http://www.test/downlad/getPdf/....etc/pwd 等改

其他

• 端口扫描 Nmap
• 协议栈健壮性测试工具 Codenomicon
• 模糊测试 Peach fuzz
• 服务器日志检查。如是否打印敏感信息，Windows 自带的防火墙日志，IIS 日志，其他容器日志的检查和设置