渗透测试

移动应用程序渗透测试

对已授权移动应用程序构建及其与设备平台和后端服务的互动进行结合静态与动态的评估。

评估范围

测试内容

最终测试覆盖范围在范围界定期间协定，并限于已提供书面授权的系统。

本地数据存储和泄露

身份验证和会话处理

平台权限与进程间通讯

传输安全与证书验证

应用程序篡改和弹性控制

后端 API 授权

委聘流程

定义目标、经批准的系统、限制、测试窗口、联系人及交战规则。

确立经授权的攻击面、架构、用户角色、资产和适用的评估标准。

使用适合环境的手动和技术方法评估经批准的范围。

安全地确认发现，消除误报，并建立切实可行的技术和业务影响。

接收附有证据、风险评级、执行摘要和修复优先次序的调查结果。

与评估团队审阅拟议的纠正措施并澄清实施优先次序。

验证已议定的修复措施，并记录每个经测试的发现是否已解决、减少或仍未解决。

评估参考

移动存储、加密、认证、网络、平台、代码和弹性方面的安全控制目标。

Android 和 iOS 应用程序的实际测试覆盖范围。

相关的 Apple 和 Android 安全要求及平台行为。

标准指导范围和测试覆盖范围。评估本身不构成认证或保证合规性。

报告

各平台的调查结果

静态和动态审查证据

按风险排序的修复行动

供开发人员查阅的技术报告

已更正控制的重新测试

与 DIGITPOL HK 讨论系统、目标、访问级别和所需证据。