Android屬性allowBackup安全風(fēng)險(xiǎn)淺析

1.allowBackup安全風(fēng)險(xiǎn)描述

Android API Level 8及其以上Android系統(tǒng)提供了為應(yīng)用程序數(shù)據(jù)的備份和恢復(fù)功能，此功能的開(kāi)關(guān)決定于該應(yīng)用程序中AndroidManifest.xml文件中的allowBackup屬性值[1] ，其屬性值默認(rèn)是True。當(dāng)allowBackup標(biāo)志為true時(shí)，用戶即可通過(guò)adb backup和adb restore來(lái)進(jìn)行對(duì)應(yīng)用數(shù)據(jù)的備份和恢復(fù)，這可能會(huì)帶來(lái)一定的安全風(fēng)險(xiǎn)。

Android屬性allowBackup安全風(fēng)險(xiǎn)源于adb backup容許任何一個(gè)能夠打開(kāi)USB 調(diào)試開(kāi)關(guān)的人從Android手機(jī)中復(fù)制應(yīng)用數(shù)據(jù)到外設(shè)，一旦應(yīng)用數(shù)據(jù)被備份之后，所有應(yīng)用數(shù)據(jù)都可被用戶讀��；adb restore容許用戶指定一個(gè)恢復(fù)的數(shù)據(jù)來(lái)源（即備份的應(yīng)用數(shù)據(jù)）來(lái)恢復(fù)應(yīng)用程序數(shù)據(jù)的創(chuàng)建。因此，當(dāng)一個(gè)應(yīng)用數(shù)據(jù)被備份之后，用戶即可在其他Android手機(jī)或模擬器上安裝同一個(gè)應(yīng)用，以及通過(guò)恢復(fù)該備份的應(yīng)用數(shù)據(jù)到該設(shè)備上，在該設(shè)備上打開(kāi)該應(yīng)用即可恢復(fù)到被備份的應(yīng)用程序的狀態(tài)。

尤其是通訊錄應(yīng)用，一旦應(yīng)用程序支持備份和恢復(fù)功能，攻擊者即可通過(guò)adb backup和adb restore進(jìn)行恢復(fù)新安裝的同一個(gè)應(yīng)用來(lái)查看聊天記錄等信息；對(duì)于支付金融類(lèi)應(yīng)用，攻擊者可通過(guò)此來(lái)進(jìn)行惡意支付、盜取存款等；因此為了安全起見(jiàn)，開(kāi)發(fā)者務(wù)必將allowBackup標(biāo)志值設(shè)置為false來(lái)關(guān)閉應(yīng)用程序的備份和恢復(fù)功能，以免造成信息泄露和財(cái)產(chǎn)損失。

2.allowBackup安全影響范圍

Android API Level 8以及以上系統(tǒng)

3.allowBackup安全風(fēng)險(xiǎn)詳情

1)allowBackup 風(fēng)險(xiǎn)位置:

AndroidMannifest.xml文件android:allowBackup屬性;

2) allowBackup風(fēng)險(xiǎn)觸發(fā)前提條件：

未將AndroidMannifest.xml文件中的android:allowBackup屬性值設(shè)為false；

3) allowBackup風(fēng)險(xiǎn)原理：

當(dāng)allowBackup標(biāo)志值為true時(shí)，即可通過(guò)adb backup和adb restore來(lái)備份和恢復(fù)應(yīng)用程序數(shù)據(jù)；

• 網(wǎng)絡(luò)安全專(zhuān)業(yè)學(xué)習(xí)布線么？
• android uc瀏覽器: Android UC瀏覽器：一款功能強(qiáng)大的移動(dòng)瀏覽工具
• 360安全瀏覽器6.2：您的網(wǎng)絡(luò)安全守護(hù)者
• 網(wǎng)絡(luò)安全審查辦法是什么？
• Android版“微軟自拍”終于來(lái)了