目　　錄
前　言
第1章　移動應(yīng)用安全基礎(chǔ)　1
1.1　移動應(yīng)用的簽名　1
1.1.1　Android簽名機制和原理　1
1.1.2　iOS簽名機制和原理　7
1.2　移動應(yīng)用的安裝　11
1.2.1　Android應(yīng)用安裝　11
1.2.2　iOS應(yīng)用安裝　13
1.3　移動應(yīng)用的權(quán)限　14
1.3.1　Android應(yīng)用的權(quán)限　14
1.3.2　iOS應(yīng)用的權(quán)限　16
1.4　移動應(yīng)用的運行　17
1.4.1　Android應(yīng)用的運行　17
1.4.2　iOS應(yīng)用的運行　20
第2章　應(yīng)用分析基礎(chǔ)　23
2.1　常用工具　23
2.1.1　越獄版商店Cydia　23
2.1.2　Root工具Magisk　25
2.1.3　Hook框架EdXposed　27
2.1.4　Hook框架Frida　35
2.1.5　Hook工具Objection　40
2.1.6　Hook工具Tweak　43
2.1.7　安全測試工具Drozer　47
2.2　常用命令行工具　49
2.2.1　ADB　49
2.2.2　readelf　53
2.2.3　Apktool　55
2.2.4　Clutch　55
2.2.5　Class-dump　57
2.3　Android應(yīng)用分析　58
2.4　iOS應(yīng)用分析　62
第3章　匯編基礎(chǔ)　65
3.1　Smali匯編基礎(chǔ)　65
3.1.1　基本類型　65
3.1.2　寄存器　66
3.1.3　基礎(chǔ)指令　67
3.1.4　語法修飾符　70
3.1.5　函數(shù)調(diào)用　72
3.1.6　函數(shù)返回值　74
3.2　ARM匯編基礎(chǔ)　75
3.2.1　寄存器　75
3.2.2　基礎(chǔ)指令　78
3.2.3　函數(shù)調(diào)用　81
3.2.4　ARM64位匯編　84
第4章　常見的攻擊方式　86
4.1　重簽名攻擊　86
4.1.1　Android應(yīng)用重簽名　86
4.1.2　iOS應(yīng)用重簽名　90
4.2　動態(tài)注入與Hook操作　92
4.2.1　Android動態(tài)注入　93
4.2.2　iOS動態(tài)注入　94
4.2.3　Android Hook攻擊　97
4.2.4　iOS Hook攻擊　100
4.3　動態(tài)調(diào)試　105
4.3.1　Android動態(tài)調(diào)試　105
4.3.2　iOS動態(tài)調(diào)試　111
4.4　Scheme攻擊　114
4.5　WebView攻擊　116
第5章　客戶端安全加固　120
5.1　Java/Kotlin代碼保護　120
5.2　C/C 代碼保護　122
5.2.1　代碼混淆保護　122
5.2.2　文件加殼保護　125
5.3　簽名校驗　126
5.3.1　Android簽名校驗　126
5.3.2　iOS簽名校驗　128
5.4　SO文件保護　129
5.5　應(yīng)用防調(diào)試　132
5.5.1　Android應(yīng)用防調(diào)試　132
5.5.2　iOS應(yīng)用防調(diào)試　134
5.6　完整性校驗　137
5.6.1　Android應(yīng)用完整性校驗　137
5.6.2　iOS應(yīng)用完整性校驗　138
5.7　防動態(tài)注入與防Hook　138
5.7.1　Android應(yīng)用防動態(tài)注入與防Hook　139
5.7.2　iOS應(yīng)用防動態(tài)注入與防Hook　140
5.8　Scheme防護　142
5.9　WebView防護　143
第6章　網(wǎng)絡(luò)通信安全　145
6.1　通信防抓包　145
6.1.1　代理檢測　145
6.1.2　代理對抗　146
6.1.3　證書校驗　146
6.2　數(shù)據(jù)防篡改　150
6.2.1　請求參數(shù)防篡改　150
6.2.2　請求數(shù)據(jù)防重放　151
6.3　通信數(shù)據(jù)加密　152
第7章　設(shè)備指紋　158
7.1　設(shè)備指紋系統(tǒng)　158
7.2　設(shè)備數(shù)據(jù)采集　159
7.3　設(shè)備指紋生成　164
7.4　設(shè)備指紋隱藏　165
7.5　設(shè)備指紋應(yīng)用　166
第8章　風(fēng)險環(huán)境檢測　169
8.1　模擬器檢測　169
8.2　設(shè)備Root/越獄檢測　171
8.2.1　Android Root檢測　172
8.2.2　iOS越獄檢測　174
8.3　函數(shù)Hook檢測　175
8.3.1　Java Hook檢測　175
8.3.2　GOT Hook檢測　177
8.3.3　Inline Hook檢測　180
8.3.4　Swizzle Hook檢測　183
8.3.5　Fishhook檢測　185
8.3.6　Substrate Hook檢測　186
8.4　設(shè)備狀態(tài)檢測　187
8.4.1　調(diào)試狀態(tài)檢測　187
8.4.2　VPN狀態(tài)檢測　　188
8.4.3　代理狀態(tài)檢測　189
8.4.4　USB調(diào)試狀態(tài)檢測　190
8.4.5　充電狀態(tài)檢測　191
第9章　異常用戶識別　192
9.1　位置篡改識別　192
9.2　設(shè)備篡改識別　193
9.3　注冊異常識別　194
9.4　登錄異常識別　197
9.5　協(xié)議破解識別　198
9.6　批量控制識別　199
第10章　隱私合規(guī)　202
10.1　應(yīng)用上架合規(guī)　202
10.1.1　軟件著作權(quán)申請　202
10.1.2　ICP備案/ICP許可證　204
10.1.3　App備案　206
10.1.4　安全評估　208
10.1.5　CCRC認證　211
10.1.6　算法備案　217
10.2　合規(guī)實踐指南　217
10.2.1　隱私政策　217
10.2.2　權(quán)限申請　220
10.2.3　個人信息收集　221
10.2.4　雙清單與權(quán)限說明　223
10.2.5　個性化推薦與定向推送　226
10.2.6　自啟動與關(guān)聯(lián)啟動　227
10.2.7　廣告展示　229
10.3　違規(guī)整改規(guī)范　231
10.3.1　工信部　231
10.3.2　省通信管理局　233
10.3.3　網(wǎng)信辦　236
10.3.4　　238