如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

2023/10/24

如何檢測iOS、Android手機資安？手機等智慧裝置已成為現今社會不可或缺的物品，也成為駭客盜取個資的最佳途徑，進而也衍伸出手機資安問題。那麼手機資安該如何把關？本篇就教你4招手機資安檢測，以及分享駭客常使用的2招詐騙方式，希望能幫助你防止個資外流！

現在使用手機付費、交易等需求日趨增長，手機資安已是不得不重視的議題

為什麼手機資安很重要？
手機應用普及化的時代，Mobile App的數量呈爆炸性增長，因此也有越來越多人容易遇到手機被駭客攻擊的困擾，網路上也有許多人分享破解手機App駭客攻擊的手法，才可以避免自己的手機被攻擊。現在行動裝置Mobile App黑產業市場也越來越強大，他們的重點是從傳統的PC網站轉移到Mobile App的戰場。

儘管近年來在政府的相關單位的推動下，手機 App安全規定發展嚴謹且迅速，各式各樣優秀的Mobile App安全防護產品或是Mobile App檢測工具推陳出新，但隨著駭客攻擊手段日益變化，如不從根本上解決Mobile App安全問題，相關的安全問題只會層出不窮。

所以，我們分析行動裝置Mobile App應該如何做到安全防護，並透過常見的攻擊手段說明和解決方法，交叉比對讓您更清楚知道如何做到Mobile App安全防護，有效的阻止手機遭到駭客攻擊的可能。

iOS、Android的手機資安的檢測4方法
目前行動資安聯盟已針對Mobile App提出相關資安檢測基準，分別為「行動應用程式基本資安檢測基準」以及「伺服器端基本資安檢測基準」。其中在「行動應用程式基本資安檢測基準」分為「行動應用程式發布安全」、「敏感性資料保護」、「交易資源控管安全」、「行動應用程式使用者身分鑑別、授權與連線管理安全」及「行動應用程式碼安全」；而「伺服器端基本資安檢測基準」分為「伺服器端安全管理」及「伺服器安全檢測」。透過以下的4種方法，可以對iOS及Android Mobile App進行檢測：

1. 靜態分析
靜態分析透過手動或工具對二進位碼進行逆向工程取得程式碼，藉由欲存取之敏感性資料、行動裝置資源。檢查測試標的所引用的函示庫版本是否存在常見的弱點與漏洞，或是否引用不當的函示庫；檢查敏感性資料是否採用適當且有效之金鑰長度與加密演算法，進行加密處理再儲存；檢查逆向工程後之程式碼否出現可識別之敏感性資料；檢查是否將敏感性資料儲存於冗餘檔案或是日誌檔中，確認存在的安全漏洞或問題。

2. 動態分析
動態分析在測試標的執行階段中引入動態的使用者輸入或資料、參數的傳入等應用程式行為，以分析測試標的執行階段的各項行為或狀態。動態分析可檢測測試標的在模擬器、實體設備及遠端連線、網路存取狀態、資料傳遞等不同的行為，可應用於檢查敏感性資料傳輸與儲存，是否使用適當且有效之金鑰長度與加密演算法進行安全加密。

3. 程式碼分析
以逆向工程取得之程式碼進行分析，分析方式可採取原始碼掃描工具進行掃描後搭配人工分析掃描結果。

4. 二進位碼分析
二進位碼可分為位元組碼及機器碼。依不同類型之二進位碼分析，應採用適當之虛擬機器、實體設備進行手動或自動化工具檢測。

手機駭客&詐騙，常使用的駭客2方式
現今社會上釣魚簡訊及手機相關詐騙層出不窮，這是目前駭客及詐騙最常使用的方式。而駭客最常使用的攻擊途徑分別為「發布釣魚簡訊」和「製作相仿的APP」讓終端用戶輕易相信該簡訊及APP的內容為真，最終造成終端用戶財物損失。以下為這2種攻擊途徑的分析：

手機2

下載APP時要確認是否為官方所發布的APP，避免安裝到仿冒

1.發布釣魚簡訊
駭客透過大量發布釣魚簡訊，吸引終端用戶點擊連結。而當用戶點擊相關連結後，手機就會被植入病毒，駭客就可以針對特定的APP執行注入攻擊，進而竊取用戶的敏感資訊及銀行存款。

2.製作相仿的APP
駭客針對在APP store及Google Play上的應用程式進行製作相仿的Mobile APP，並將其發布到非正式平台供終端用戶下載，吸引那些無法判別該APP是否為正版的用戶下載。而當用戶下載後，駭客亦能在用戶的手機中植入病毒或是在用戶輸入帳號密碼後成功竊取重要資訊，造成用戶財物損失。

Mobile APP二次打包
現在Mobile App應用在各行各業，其中也有很多投機人士，可能是開發經費不夠或是想投機取巧，想用最低的成本拿到或是取代市場上的特別熱門的App，於是開始進行各種Mobile App解析，進而盜版了Mobile App。他們雇用駭客，反組譯APP，修改原始碼和伺服器的連接方式，重新植入自己想要的資訊，最後簽上自己簽章，就可以擁有一個與

熱門原創相同的Mobile App。然後向一些不正當的第三方管道發佈Mobile App，進而謀取利益。

另外，還有一些駭客組織在破解手機行動裝置 App後，添加惡意木馬程式，目的獲取使用者的相簿資料、通訊錄或簡訊資料，而有一些駭客使用這樣的技術來監控使用者銀行帳戶、密碼…等敏感資訊，使用金融App遭盜轉的問題就是這樣而來的。

解決方式
Mobile App的唯一辨識碼是「簽章」，所以開發團隊可以在Mobile App上，放上防止二次打包的相關驗證程式碼或是加入Hash值(程式碼被修改後即閃退)，可以預防Mobile App被二次打包，避免Mobile App遭竄改。

攔截重要函數(HOOK)
Mobile App遊戲的外掛程式技術的原理，是通過攔截Mobile App的重要函數，營造成Mobile App用戶行為，來欺騙伺服器驗證進而發送虛假資料。

舉例來說，很多的聊天社群軟體都會有發紅包的活動，希望能透過發紅包來增加聊天軟體的社群黏著度。但常常會出現某些用戶大量且快速地搶取紅包，它們就是透過瘋狂的搶紅包軟體來完成這樣的行為，其原理是利用HOOK技術攔截紅包函數，製作外掛程式與APP函數連結，來造成不公平的競爭行為。再加上，一些大型Mobile App軟體公司其實都知道這樣的問題，所以會在Mobile App的伺服器驗證推出上具有HOOK辨識的機制，但大多數APP仍然沒有這類的保護概念。

解決方式
除了透過工具來做到混淆或加密關鍵函數、原始碼的執行過程之外，最根本的解決方式就是Mobile App本身就該具有防記憶體偵錯的功能，讓駭客無法解析Mobile App的動態程序，進而無法找到任何被駭客HOOK植入的機會。

敏感資料洩露
至今許多開發人員還是認為Mobile App安全性高或是消極地的認為Mobile App的安全問題是無法解決的，不太重視使用者端的安全。而駭客對Mobile App進行侵入的方式層出不窮。通常他們會反編譯Mobile App的原始碼，從中擷取敏感的資料，例如通信傳輸的金鑰、客戶加密演算法、資料庫…..等等。擁有這些重要資料後，根據資料通信協定進行網路滲透，最後甚至有機會入侵伺服器。

解決方式
開發人員一定要混淆、分割、重組、加密重要資訊，讓被駭後資料外洩的風險機率下降。如果開發團隊不太瞭解如何操作，請找專業的App安全公司，可以對APP進行全面的安全評估，以白帽駭客的想法對Mobile App的各個環節進行滲透測試攻擊，挖掘APP存在的漏洞和相對的風險，進而提早修補來提高Mobile App的安全性。

通信協議分析
利用挖掘出的敏感資料和加密演算法，駭客通常通過Mobile App使用者端和伺服器連結來進行滲透攻擊，常見的通訊

連結方式有HTTP、Socket、WebSocket等，利用這些資訊偽造使用者來對App進行攻擊。發生這樣的攻擊，大多數的原因是因為開發人員缺乏安全意識和對App安全的不了解，所以造成伺服器和資料庫被攻陷，最終可能給終端客戶帶來了不可估量的損失。

解決方式
除了做好伺服器端的安全信任認證、提高開發人員的安全意識，並提供使用者安全的連線服務。如果還是覺得不足夠，可以委託專業的App安全公司做諮詢，對公司或自己的Android或IOS的Mobile App進行全面的安全滲透測試。

開發商的疏忽
大多數開發人員的安全意識並不高，其中Mobile App開發公司更是嚴重。因為他們大多專注在開發Mobile App上的功能需求，可能由於現實或時間壓力的問題，並沒有太多時間去考慮現在的原始碼或是架構上是否有安全上的危險。所以在開發Mobile App時出現程式和架構端的漏洞。因此會建議Mobile App安全技術人員，參考OWASP SSDLC六大階段的解決方案，透過相關的資安服務來避免風險。其實無論是大型Mobile app還是小型Mobile app，安全穩定都是Mobile app營運的基本標準。否則，即使是再好的商業模式也無法忍受駭客的攻擊威脅。

延伸閱讀：
資安弱點掃描v.s滲透測試，差異在哪？3分鐘看優缺點與流程！
常見手機APP駭客工具-FRIDA，預防你的網站遭受駭客攻擊！

其他訊息

產業訊息

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

其他訊息

全新登場！阿里雲 CAPTCHA 服務，給您頂級安全防護與用戶體驗

什麼是DDoS攻擊？一次教你如何做好DDoS防護，保護你的網站！

如何提升網站效能優化？推薦5個改善網站速度的方法一次看！

雲端遷移成功關鍵因素

SOC它到底是什麼?它對資安有什麼作用?對於SOC資訊安全監控的功能與優勢有哪些?

精準運維，一站監控：探索騰訊雲可觀測平台的強大功能

Page Speed網頁速度如何加快？四種方法教你如何改善網站速度！

果核 2024 首發 Hacker Talk 論壇， 破解資安求職與無人機資安盲點

如何定義開源軟體＆套件？3分鐘快速搞懂第三方套件的授權模式！

雜貨店也能數位轉型？食品零售商如何透過公有雲優化商務呢

騰訊雲CCN雲聯網 手把手配置 高效穩定企業跨境全球互聯

【2024最新】公司企業的3款最佳Devops工具，成功案例一次看！

使用CDN安全嗎？CDN如何達到基本防護功能呢?

我用的APP安全嗎？會被竊個資嗎？3分鐘快速檢查手機APP資安！

如何確保做好企業資訊安全？這4大DDoS防護方法，推薦學起來！

發現手機被追蹤怎麼辦？注意 這十大被駭徵兆，手機資安恐不 保！

如何加快網站速度?影響網速的要件及升級指南

Vertex AI 和 Workbench 語言模組實戰，打造有人性的客服小幫手

我的 AWS實例啟用失敗，應該怎麼做？

果核 2023 最終場駭客論壇，探討網站風險、原碼檢測盲點與 Crypto 黑暗面

DDOS流量清洗是什麼？可以阻擋攻擊嗎？DDOS防禦方法一次看！

Devops是什麼？推薦企業一次看懂Devops定義、流程及優缺點！

如何做好資安防護？3個APP資安檢測工具、費用及功能一次看！

CDN廠商怎麼選？中華電信CDN、Cloudflare及Multi CDN大評比！

如何檢測iOS、Android手機資安？4招檢測方法預防詐騙＆駭客！

Google Cloud 引領潮流，擴大企業級生成式 AI的應用範疇，開創無限可能！

果核邀請專家獻策，破解惡意後門與車載資安盲點

企業為什麼要上雲？用途為何？盤點上雲5大優勢和費用解析！

可自建CDN嗎？和供應商差在哪？兩者優缺點和供應商挑選一次懂！

優化數據處理體驗：探索騰訊雲 EdgeOne 邊緣計算新境界

我該如何選擇最適合 AWS EC2 實例?

企業如何挑選合適的雲端服務？公有雲、私有雲差異比較總整理

技術專欄_運用AWS Network Firewall控制 Workspaces

弱點掃描工具有哪些？5款免費、付費弱點掃描工具優缺點分析！

如何設定網站CDN？推薦公司企業使用CDN加速的4大原因！

如何應對邊緣節點的網路攻擊？在 CDN 邊緣節點建立防護系統！

如何測試網站安全？OWASP工具測試弱點掃描的功能服務解析！

如何防禦DDoS攻擊？推薦這4大DDoS防護方法，避免網站被駭！

Google Cloud 初學者指南：我該將服務運行在哪呢？

果核串聯執法機關、資安廠商與風險顧問引導企業降低遇駭危機

企業需要SOC資安監控嗎？如何評估？看懂SOC監控的5大功能！

Multi CDN是什麼？為什麼要融合CDN？其應用方法與原理一次知！

如何利用CDN內容傳遞網路讓網站加速？4大優勢與趨勢分析！

DDoS攻擊怎麼防禦？DDoS攻擊手法與資安供應商挑選一次搞懂！

為什麼網站速度慢？和網頁設計有關嗎？速度慢會造成什麼影響？

如何提升企業雲端防護力-Cloud Armor

果核 2023 首發論壇，揭示藍隊能力升級、 開發／資安磨合的奧妙心法

2021 OWASP Top 10 A09資安紀錄與監控失效

2021 OWASP Top 10 A10伺服器請求偽造

安全防護：Web Application Firewall 設定教學

主動追蹤 AWS 「資源用量」，避免配額用盡造成任務失敗

我的網站慢嗎？如何檢測讓網站加速？新手必知 5 項網站優化指南！

阿里雲訪問控制與權限設置教學

該怎麼選擇 GCP Disk ?

AWS-WorkSpaces雲端桌面服務 (下集)

SOC 是什麼？SOC 資訊安全監控 v.s NOC 網路操作中心的差異？

2021 OWASP Top 10 A08軟體及資料完整性失效

OWASP前10大A07認證及驗證機制失效，瞭解如何修補及預防！

2022 果核 Hacker Talk 漂亮收尾， 解構開發模式、弱點檢測之安全盲點

CDN 內容傳遞網路是什麼？其運作的原理及用途為何？

SOC 資訊安全監控中心是什麼？4 項功能服務與優勢一次知！

如何提高網站的速度，為中國用戶提供可靠的體驗?

如果AWS訪問密鑰暴露怎麼辦？記住這4步驟一定要先做起來！

快速上手打造專屬直播平台

2021 OWASP Top 10 A06易受攻擊和已淘汰的組件

果核Hacker Talk傳授企業資安設計要訣，並探索IoT資安風險化解之道

HACKER TALK - 常被遺漏的開發測試環境如何面對駭客迎擊? 弱點掃描是否足夠阻擋駭客攻擊? 今年最後一場論壇，精彩議程不容錯過!

資安弱點掃描v.s滲透測試，差異在哪？3分鐘看優缺點與流程！

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

我該如何選擇最適合的阿里雲 ECS 實例?

收到 AWS Abuse Report，該怎麼辦?

AWS-WorkSpaces雲端桌面服務 (上集)

公司網站速度慢怎麼辦？4 大網站速度慢原因，與自我檢測方法一次看

智慧戰情室能夠帶給企業什麼好處？一次瞭解其功能與特點！

什麼是公有雲？公有雲安全嗎？適合哪種企業使用？

2021 OWASP Top 10 A05 Security Misconfiguration 安全設定缺陷

2021 OWASP Top 10 A04 不安全設計

果核 2024 首發 Hacker Talk 論壇，破解資安求職與無人機資安盲點

騰訊雲CCN雲聯網手把手配置高效穩定企業跨境全球互聯

發現手機被追蹤怎麼辦？注意這十大被駭徵兆，手機資安恐不保！

果核 2023 首發論壇，揭示藍隊能力升級、開發／資安磨合的奧妙心法

2022 果核 Hacker Talk 漂亮收尾，解構開發模式、弱點檢測之安全盲點

如何提升網站速度及效能？推薦先搞懂動態v.s靜態網站的差異！

從零基礎學破解的駭客工具 Magisk Root，看懂駭客攻擊如何操作！

嚇！手遊資安危機　數小時恐喪失上億營收

從Google Play下載App保證安全!？資安業者：超過100款惡意程式會偷資料、點擊詐騙

網銀App漏洞金管會關注