您的APP安全嗎? - 羊小咩
===

{%hackmd FGRWt1UuTFKk0wSbGgg-SA %}

> 請從這裡開始

## YouTube
{%youtube qHshqjCDX2Y %}

## Slide
{%slideshare lambmei/app-174887339 %}

## 你有做到這三點嗎
* 連線採用 https
* 資料檔案加密
* 傳輸訊息時押碼

## 攻擊手法
* 中間人攻擊/嗅探器
* 取得未加密檔案/文件
* 記憶體編輯
* 動態程式碼注入攻擊
* 反組譯 ClassDump

## GUI Debug proxy
* Charles
* Burp Suite
* Fiddler

## 取得AppStore ipa小技巧
* Apple Configurator 2

## 還原偽代碼
* IDA
* Hopper

軟體 FLEX

## 網路通訊安全
* 訊息隱密性 (Confidentiality)
* 訊息完整性 (Integrity)
* 訊息來源辨識性 (Authentication)
* 訊息不可重複性 (Non-duplication)
* 訊息不可否認性 (Non-repudiation)

## 密碼學
* 對稱式加密
* AES
* 3DES
* 非對稱式加密
* RSA
* ECC

## 訊息鑑別碼
* 傳輸訊息多一組鑑別碼來判斷資料是否被改過

## 憑證綁定 Certificate Pinning
* 在App崁入公鑰, 但會有過期問題

## 混淆 ObFuscation
* 字串混淆
* 程式碼混淆
* 程式碼邏輯混淆
* 控制流扁平化
* 指令替換
* keychain

## MAS

--------------------------

### 基本套路
* 提取iap, 脫掉ipa加密保護
* 分析ipa中的mach-o文件
* dump class
* UI分析(推薦用Lookin操作)
* framework分析
* http 協議分析
## 實戰演練
### 去廣告
## 如何防禦

###### tags:`iPlayground2019`