行動應用程式資安檢測
- 檢測對象
- iOS · Android · API
行動
常見風險
逆向工程與竄改
安裝檔遭反編譯，核心邏輯與金鑰被取出，或遭重新打包並植入惡意程式碼。
資料以明文儲存
帳號、Token、個人資料以明文儲存在本機檔案、資料庫或記錄檔中。
通訊安全
未正確驗證憑證或使用明文傳輸，資料可能在傳輸過程中遭攔截或竄改。
API 濫用
API 缺少驗證機制或速率限制，可被大量呼叫、刷單、撞庫或越權存取。
元件與權限
對外開放的元件可被外部呼叫、WebView 設定不當、要求了不必要的敏感權限。
檢測範圍
- iOS 與 Android 用戶端（安裝檔與執行階段）
- App 呼叫的後端 API
- 登入、付款等關鍵業務流程
- 本機儲存、記錄檔與快取資料
- 第三方 SDK 與 WebView
評估方法
靜態分析
反編譯安裝檔，檢查硬編碼的金鑰、敏感資訊與程式碼保護機制。
動態分析
在測試裝置上執行 App，檢查本機儲存、記錄檔與執行階段防護。
通訊與 API 測試
分析通訊過程，針對後端 API 進行驗證機制、越權存取與濫用測試。
報告與防護強化建議
依風險等級提供問題清單與防護強化方案。
評估交付成果
- 檢測報告
- 用戶端與 API 問題的完整清單，包含重現步驟與風險等級。
- 防護強化建議
- 程式碼混淆、資料加密、憑證驗證、API 防護等具體的防護強化方案。
- 合規配合
- 可配合應用程式商店上架審查與隱私合規的相關要求。
適用情境
- App 首次上架或重大版本發布前
- App 涉及付款、金融或個人隱私資料
- 發現 App 遭破解、重新打包，或 API 遭惡意大量呼叫
- 應用程式商店或合作夥伴提出資安合規要求
合作常見問題
需要提供原始碼嗎？
不需要。我們可以直接針對安裝檔進行檢測；如果能提供測試帳號與 API 文件，檢測會更完整。
iOS 和 Android 都需要檢測嗎？
建議兩個平台都檢測。雖然後端 API 相同，但兩個平台用戶端的實作與保護機制不同，風險往往也不一樣。
檢測會影響已上架的 App 嗎？
用戶端分析通常於約定的測試裝置與版本上進行。後端 API 測試仍可能影響業務，需事先確認環境、測試時段及停止條件，並協調必要的備份與還原準備。
相關資安服務
驗證網站應用程式、API 及關鍵業務流程中可遭利用的資安弱點。
依據約定基準檢視雲端設定、身分權限及對外暴露的資源。
結合業務與法遵目標，明確資安建置重點、治理職責及執行計畫。