APP安全测试用例梳理
Android APP安全测试,本想找用APPscan扫描就行了,但系统的架构不支持APPscan扫描。 按下面的一些思路手工测试的安全: 预置条件 测试步骤 预期结果 1、手机root 2、被测应用打开了数据业务开启或连接wifi 3、获取手机的个人数据信息:IMEI号、IMSI号、ESN号、MEID号、电话号码、电话本、短信、email、通话记录、定位信息、PIN码、PUK码 1、使用TCPTump抓IP LOG。 2、正常使用XX应用的每个功能 3、使用wireshark工具分析IP log是否包含了预制条件3中的个人数据或敏感数据,若无预制条件3 中的个人数据或敏感数据,则不用进行步骤4 4、使用wireshark工具分析IP log中包含的预制条件3中的批量个人数据(单个个人数据除外,比如:仅上传IMEI或GPS等),是否采用安全通道传输或加密后传输 3、不能包含这些数据。若有这些数据,则在界面上需要有相关明示提醒。 4、IP log中包含的预制条件3中的个人数据或敏感数据需要采用安全通道传输或加密后传输 同上 1、连接电脑,使用DDMS抓DDMS LOG。 2、正常使用XX应用的每个功能 3、分析DDMS log是否打印了预制条件3中的个人数据或敏感数据 4、查看DDMS log,检查密码是否打印 2-3、不能包含这些数据。 4、DDMS中不打印账户的密码