Android屬性allowBackup安全風險淺析

1.allowBackup安全風險描述

Android API Level 8及其以上Android系統(tǒng)提供了為應用程序數(shù)據(jù)的備份和恢復功能，此功能的開關決定于該應用程序中AndroidManifest.xml文件中的allowBackup屬性值[1] ，其屬性值默認是True。當allowBackup標志為true時，用戶即可通過adb backup和adb restore來進行對應用數(shù)據(jù)的備份和恢復，這可能會帶來一定的安全風險。

Android屬性allowBackup安全風險源于adb backup容許任何一個能夠打開USB 調(diào)試開關的人從Android手機中復制應用數(shù)據(jù)到外設，一旦應用數(shù)據(jù)被備份之后，所有應用數(shù)據(jù)都可被用戶讀��；adb restore容許用戶指定一個恢復的數(shù)據(jù)來源（即備份的應用數(shù)據(jù)）來恢復應用程序數(shù)據(jù)的創(chuàng)建。因此，當一個應用數(shù)據(jù)被備份之后，用戶即可在其他Android手機或模擬器上安裝同一個應用，以及通過恢復該備份的應用數(shù)據(jù)到該設備上，在該設備上打開該應用即可恢復到被備份的應用程序的狀態(tài)。

尤其是通訊錄應用，一旦應用程序支持備份和恢復功能，攻擊者即可通過adb backup和adb restore進行恢復新安裝的同一個應用來查看聊天記錄等信息；對于支付金融類應用，攻擊者可通過此來進行惡意支付、盜取存款等；因此為了安全起見，開發(fā)者務必將allowBackup標志值設置為false來關閉應用程序的備份和恢復功能，以免造成信息泄露和財產(chǎn)損失。

2.allowBackup安全影響范圍

Android API Level 8以及以上系統(tǒng)

3.allowBackup安全風險詳情

1)allowBackup 風險位置:

AndroidMannifest.xml文件android:allowBackup屬性;

2) allowBackup風險觸發(fā)前提條件：

未將AndroidMannifest.xml文件中的android:allowBackup屬性值設為false；

3) allowBackup風險原理：

當allowBackup標志值為true時，即可通過adb backup和adb restore來備份和恢復應用程序數(shù)據(jù)；

• 網(wǎng)絡安全攻防技術分享
• 網(wǎng)絡安全專業(yè)學習布線么？
• android uc瀏覽器: Android UC瀏覽器：一款功能強大的移動瀏覽工具
• 360安全瀏覽器6.2：您的網(wǎng)絡安全守護者
• 網(wǎng)絡安全審查辦法是什么？