移动应用安全PDF|Epub|txt|kindle电子书版本网盘下载

移动应用安全PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第1部分 移动平台2

第1章 移动应用主要问题及开发策略2

1.1移动终端面临的主要问题2

1.1.1物理安全2

1.1.2数据存储安全（磁盘）3

1.1.3应用有限的键盘实现强认证3

1.1.4支持多用户的安全4

1.1.5安全浏览环境4

1.1.6加固操作系统4

1.1.7应用隔离5

1.1.8信息泄露5

1.1.9病毒、蠕虫、后门、间谍软件和恶意软件5

1.1.10艰难的补丁更新/升级过程6

1.1.11严格使用和实施SSL6

1.1.12钓鱼攻击7

1.1.13跨站请求伪造（Cross-Site Request Forgery，CSRF）7

1.1.14位置隐私／安全7

1.1.15 不安全的设备驱动8

1.1.16多因素认证8

1.2移动应用安全开发中的技巧9

1.2.1应用TLS/SSL9

1.2.2遵循安全编程实践10

1.2.3对输入进行验证10

1.2.4应用OS提供的控制模型10

1.2.5应用系统访问的最小权限模型11

1.2.6恰当地存储敏感信息11

1.2.7对应用代码进行签名11

1.2.8设计安全和健壮的升级过程12

1.2.9理解移动浏览器的安全功能和局限性12

1.2.10清除非威胁因素12

1.2.11应用安全/直观的移动URL13

1.3小结13

第2章Android平台安全15

2.1 Android开发和调试16

2.2 Android安全的IPC机制19

2.2.1活动（Activity）19

2.2.2广播（Broadcast）19

2.2.3服务（Service）19

2.2.4内容提供器（ContentProvider）20

2.2.5 Binder20

2.3 Android安全模型20

2.4 Android控制模型小结21

2.5创建新的Manifest权限控制文件25

2.6 Intent25

2.6.1 Intent概述26

2.6.2 IntentFilter26

2.7 Activity27

2.8 Broadcast29

2.8.1接收广播Intent30

2.8.2安全地发送广播Intent30

2.8.3 Sticky Broadcast31

2.9 Service31

2.10 ContentProvider32

2.11避免SQL注入34

2.12 Intent Reflection35

2.13文件和优先选项35

2.14大容量存储36

2.15 Binder接口37

2.15.1调用者权限或者身份检查实现安全38

2.15.2 Binder引用安全38

2.16 Android安全工具39

2.16.1 Manifest浏览器39

2.16.2 Package Play40

2.16.3 Intent Sniffer40

2.16.4 Intent Fuzzer42

2.17小结42

第3章iPhone平台安全44

3.1历史44

3.1.1 iPhone和OSX45

3.1.2“越狱”与“反越狱”45

3.1.3 iPhone SDK46

3.1.4未来发展46

3.2开发46

3.2.1反编译和反汇编47

3.2.2避免逆向工程50

3.3安全测试50

3.3.1缓冲区溢出50

3.3.2整数溢出51

3.3.3格式化字符串攻击51

3.3.4双重释放（Double-Free）53

3.3.5静态分析54

3.4应用程序格式55

3.4.1编译和打包55

3.4.2分发：Apple Sto55

3.4.3代码签名56

3.4.4执行未经签名的代码56

3.5权限及用户控制57

3.5.1沙箱57

3.5.2 Exploit Mitigation58

3.5.3权限58

3.6本地数据存储：文件、权限和加密59

3.6.1 SQLite存储59

3.6.2 iPhoneKeychain存储60

3.6.3共享Keychain存储61

3.6.4向证书存储中添加证书61

3.6.5获取Entropy62

3.7网络63

3.7.1 URL装载API63

3.7.2 NSStream64

3.7.3 P2P64

3.8 push通知，复制/粘贴以及其他IPC65

3.8.1 push通知66

3.8.2 UIPasteboard66

3.9小结67

第4章Windows Mobile的安全性68

4.1平台介绍68

4.1.1与Windows CE的关系69

4.1.2设备结构69

4.1.3设备存储71

4.2内核构架71

4.2.1内存管理72

4.2.2 Windows CE进程73

4.2.3服务74

4.2.4对象74

4.2.5内核模式和用户模式76

4.3开发及安全测试77

4.3.1编码环境和SDK77

4.3.2模拟器78

4.3.3调试81

4.3.4反汇编83

4.3.5代码安全86

4.3.6应用程序打包和分发89

4.4权限与用户控制91

4.4.1特权模式和普通模式91

4.4.2验证码、签名和证书92

4.4.3运行中的应用程序94

4.4.4锁定设备95

4.4.5管理设备安全策略96

4.5本地数据存储97

4.5.1文件和权限97

4.5.2设备失窃保护98

4.5.3结构化存储99

4.5.4加密和设备安全存储99

4.6组网100

4.6.1连接管理器100

4.6.2 WinSock101

4.6.3红外线101

4.6.4蓝牙101

4.6.5 HTTP和SSL101

4.7小结102

第5章 黑莓手机的安全性103

5.1平台简介103

5.1.1黑莓企业服务器（BES）104

5.1.2黑莓的互联网服务（BIS）105

5.2设备和操作系统结构105

5.3开发及安全测试106

5.3.1编码环境106

532模拟器107

5.3.3调试108

5.3.4反汇编109

5.3.5代码安全111

5.3.6应用程序打包和分发112

5.4权限与用户控制113

5.4.1 RIM的可控API114

5.4.2运营商和MIDlet签名118

5.4.3对MIDP应用程序中的权限错误的处理119

5.4.4锁定设备119

5.4.5应用程序权限管理120

5.5本地数据存储120

5.5.1文件和权限120

5.5.2可编程文件系统访问121

5.5.3结构化存储122

5.5.4加密和设备安全存储122

5.6组网124

5.6.1设备防火墙124

5.6.2 SSL和WTLS125

5.7小结125

第6章Java移动版的安全性126

6.1标准开发126

6.2配置、profile和JSR127

6.2.1配置128

6.2.2 profile128

6.2.3可选包130

6.3开发和安全测试130

6.3.1配置开发环境并安装新平台131

6.3.2模拟器133

6.3.3逆向工程和调试134

6.3.4代码安全139

6.3.5应用程序打包和分发141

6.4权限和用户控件145

6.4.1数据访问148

6.5小结149

第7章 塞班系统（SymbianOS）安全性150

7.1平台介绍150

7.1.1设备架构151

7.1.2设备存储器152

7.2开发和安全测试153

7.2.1开发环境153

7.2.2软件开发工具155

7.2.3模拟器155

7.2.4调试156

7.2.5 IDA Pro157

7.3代码安全158

7.3.1 Symbian C﹢﹢158

7.3.2 P.I.P.S和OpenC164

7.4应用程序包165

7.4.1可执行的镜像格式165

7.4.2安装包167

7.4.3签名168

7.4.4塞班签名169

7.4.5安装170

7.5权限和用户控制171

7.5.1功能概述171

7.5.2可执行映像功能173

7.5.3进程功能173

7.5.4进程间的功能173

7.6进程间通信174

7.6.1客户端／服务器会话174

7.6.2共享会话179

7.6.3共享句柄179

7.7永久的数据存储180

7.7.1文件存储180

7.7.2结构化存储181

7.7.3加密存储182

7.8小结184

第8章WebOS安全186

8.1平台简介186

8.1.1 WebOS系统结构187

8.1.2模型视图控制器（MVC）189

8.1.3 stage与scene，assistant与view190

8.2开发和安全测试191

8.2.1开发模式191

8.2.2访问Linux192

8.2.3模拟器192

8.2.4调试和反汇编193

8.3代码安全195

8.3.1脚本注入196

8.3.2直接执行196

8.3.3编程数据注入198

8.3.4模板注入200

8.3.5本地数据注入201

8.3.6应用程序打包204

8.4权限和用户控制204

8.4.1存储205

8.4.2网络207

8.5小结207

第2部分 移动服务210

第9章 WAP和移动HTML安全210

9.1 WAP和移动HTML基础211

9.2 WAP／移动HTML网站上的认证212

9.3加密214

9.3.1 WAP 1.0215

9.3 2 SSL和WAP 2.0216

9.4移动HTML网站上的应用层攻击216

9.4.1跨站脚本攻击217

9.4.2 SQL注入220

9.4.3 CSRF攻击222

9.4.4 HTTP重定向225

9.4.5钓鱼攻击226

9.4.6会话伪造227

9.4.7非SSL登录228

9.5 WAP和移动浏览器的不足228

9.5.1缺乏HTTPOnly标签的支持228

9.5.2缺乏SECURE标签的支持228

9.5.3浏览器缓存处理229

9.5.4 WAP不足229

9.6小结229

第10章 蓝牙安全231

10.1蓝牙技术概览231

10.1.1历史及标准231

10.1.2常见用途232

10.1.3其他类似方式232

10.1.4未来发展234

10.2蓝牙技术架构234

10.2.1 Radio operation和频率234

10.2.2蓝牙网络拓扑235

10.2.3设备识别235

10.2.4运行模式236

10.2.5蓝牙分层模型236

10.2.6蓝牙profile237

10.3蓝牙安全功能238

10.3.1配对239

10.3.2蓝牙传统安全服务240

10.3.3非功能性安全243

10.4蓝牙设备和网络的威胁244

10.5蓝牙漏洞245

10.5.1蓝牙v1.2之前的版本245

10.5.2蓝牙v2.1之前的版本245

10.5.3所有版本245

10.6建议246

第11章 短信安全247

11.1短消息服务概览248

11.2多媒体消息概览251

11.3协议攻击253

11.3.1滥用合法功能255

11.3.2协议攻击的实现264

11.4应用攻击266

11.4.1 iPhone Safari267

11.4.2 Windows Mobile MMS268

11.4.3 Motorola RAZR JPG溢出268

11.5安全演练269

11.5.1发送PDU269

11.5.2 XML转换为WBXML271

11.6结论271

第12章 移动地理定位272

12.1地理定位方法272

12.1.1基站三角定位272

12.1.2 GPS定位273

12.1.3 802.11274

12.2地理定位实现274

12.2.1 Android274

12.2.2 iPhone276

12.2.3 Windows Mobile276

12.2.4 Symbian277

12.2.5 BlackBerry277

12.3地理定位服务的风险278

12.3.1最终用户的风险278

12.3.2服务提供商的风险279

12.4地理定位最佳实践280

第13章 企业安全282

13.1设备安全选项283

13.1.1 PIN码283

13.1.2远程删除284

13.2本地存储安全285

13.2.1 Apple iPhone以及Keychain机制285

13.3安全策略实施286

13.4加密287

13.4.1全盘加密288

13.4.2邮件加密288

13.4.3文件加密289

13.5应用沙箱、签名及许可289

13.5.1应用程序沙箱290

13.5.2应用程序签名291

13.5.3权限控制293

13.6缓冲区溢出保护294

13.6.1 Windows Mobile294

13.6.2 iPhone295

13.6.3 Android295

13.6.4 BlackBeny296

13.7安全功能汇总296

13.8结论297

第3部分 附录300

附录A移动恶意软件300

A.1历史重要恶意软件介绍301

A.1.1 Cabir301

A.1.2 Commwarrior301

A.1.3 Beselo.B301

A.1.4 Trojan.Redbrowser.A302

A.1.5 WinCE/Brador.a302

A.1.6 WinCE/Infojack302

A.1.7 SMS.Python.Flocker302

A.1.8 Yxes.A303

A.1.9其他303

A.2威胁场景303

A.2.1假冒固件303

A.2.2典型木马304

A.2.3蠕虫304

A.2.4勒索软件304

A.3减少移动恶意软件的破坏305

A.3.1终端用户305

A.3.2开发人员以及平台供货商305

附录B 移动安全渗透测试工具307

B.1移动平台攻击工具307

B.1.1 Manifest Explorer307

B.1.2 Package Play308

B.1.3 Intent Sniffer309

B.1.4 Intent Fuzzer309

B.1.5 pySimReader311

B.2浏览器扩展311

B.2.1 WMLBrowser311

B.2.2 User Agent Switcher311

B.2.3 FoxyProxy312

B.2.4 TamperData313

B.2.5 Live HTT P Headers313

B.2.6 Web Developer314

B.2.7 Firebug314

B.3网络工具315

B.3.1 Wireshark315

B.3.2 Tcpdump316

B.3.3 Scapy317

B.4 Web应用工具317

B.4.1 WebScarab318

B.4.2 Gizmo319

B.5 Fuzzing框架319

B.5.1 Peach320

B.5.2 Sulley320

B.6通用工具320

B.6.1 Hachoir320

B.6.2 VbinDiff321