第二十九期：移动互联网安全专题沙龙-移动安全支付攻防浅析-公开.pdfVIP

移动安全支付攻防浅析 火点(陈家林) 鲶鱼团队（安卓安全小分队） 议题  攻击在哪里？  App能做什么  系统能做什么  硬件能做什么 攻击在哪里 铜墙铁壁 Web端安全 服务器系统 移动端安全 玻璃窗户 即便Web安全防护如铜墙铁壁，由于移动端安全的弱化， 等同在坚固的铜墙铁壁上，新开了一个易碎的玻璃窗户， 给交易系统带来极大风险。 攻击类型  二次打包  虚假应用钓鱼  短信木马  DNS劫持，WIFI钓鱼  系统输入输出劫持  浏览器攻击（Webview提权） App能做什么  签名验证（本地和远程） 360安全支付模块 盗版网银识别  加固 木马病毒查杀  防注入 网络环境监控  防调试 支付环境监控  安全键盘 网址安全扫描 二维码扫描监控 短信加密认证 关于签名验证 App启动，读取apk签名 字符串未加密，代码特征明显 计算hash （MD5 ，SH1A ） Log未加密，打开log一目了然 上传服务器检验 函数名有signature，太明显 返回错误则停止运行，封号 关于签名验证 Android系统签名漏洞，就遭殃了 Certificate 2 Certificate 1 Certificate 0 Serial No Serial No Serial No Issuer equal Issuer equal Issuer equal Subject Subject Subject equal equal Public Key verify Public Key verify Public Key verify Issuer Issuer Issuer signature