上海品茶

三个皮匠报告
上海品茶
最新
合集
英文
会议
图表
入驻
付费
new
报告
报告 合集 图表

永安在线：基于微信小程序生态体系的黑灰产研究报告（27页）.pdf

编号：51434 PDF 27页 3.27MB 下载积分：VIP专享
下载报告请您先登录！

永安在线：基于微信小程序生态体系的黑灰产研究报告（27页）.pdf

1、随着小程序的攻击案例越来越多，小程序安全已经逐渐引起业务方和安全行业的重视。相比于 App 和 Web 应用，小程序带来了一个新的攻防平面，其难点在于：已有的一些防护方案不能有效的运用到小程序上，导致达不到理想的防护效果，例如以下方案：设备信息是业务安全风控的重要输入参数。设备指纹能否取得比较好的效果，取决于采集的信息是否可以形成该设备的唯一 ID，以及可以判断该设备是否存在风险。出于权限和隐私等安全方面的考虑，小程序可以采集到的设备信息并不多，能采集到设备信息，比如品牌型号、屏幕大小、分辨率、电量、网络类型等，无法形成唯一性强稳定性好的设备ID，也无法借助这些信息来判断设备是否存在风险。同时

2、，由于目前黑灰产攻击小程序基本采用的都是协议攻击，黑灰产可以在发起的业务请求中随意伪造设备信息，这使得设备指纹在小程序防护上的效果微乎其微。通过人工或自动化的方式对小程序前端和后端进行扫描，检查是否存在 SQL 注入、XSS跨站脚本、目录遍历、信息泄露等应用漏洞。然而当前黑灰产针对小程序的攻击，几乎都不是通过应用漏洞进行攻击。黑灰产伪造业务请求发起的自动化攻击，其产生的机器流量，没有携带任何漏洞特征或恶意代码，和正常的请求并无差异。安全扫描可以提早发现小程序中的漏洞，避免遭受漏洞攻击;但对于非漏洞的攻击，则起不到任何防护作用。安全加固指的是对小程序的前端代码进行一系列的混淆和变换，在执行逻辑不

3、变的前提下，降低其可读性，提高攻击者分析前端代码逻辑的难度，从而保护小程序的安全。常见的变换手段有：字符串加密、变量名混淆、插入垃圾代码、调用等价变换、控制流平坦化等。安全加固确实可以在一定程度上提高攻击门槛，劝退菜鸟级黑灰产，但仍然难不倒技术实力强的黑灰产。而且小程序主体的代码逻辑基本上不会发生大的变化，所以破解是一次性的，只要收益足够大，破解所需要的时间成本对于黑灰产来说是可以接受的。此外，安全加固必然会带来一定程度上的性能损失和稳定性下降，也不方便调试，因此目前并没有被广泛使用。我们随机选择了 30 款小程序作为分析目标，对这些小程序进行反编译后，发现没有 1 款小程序对代码做了混淆加固

4、，情况不容乐观。对于重要业务接口的访问进行签名校验，是抵御机器流量的有效手段之一。最常见的方法是在接口请求参数或者请求头中携带一个签名 signature(或者叫令牌 token)，签名在小程序前端由具备一定强度的算法生成，小程序后端根据对应的算法校验签名的合法性，若校验失败则拒绝响应本次请求。对于小程序主要面临的协议攻击来说，确实可以提高攻击门槛。但问题在于攻防的不对等。由于小程序代码无法实时更新，签名算法一旦被破解，需要等到小版本发布新的版本才能升级新的签名算法。发布新版本很多时间需要服从产品计划，而且需要经过完整的测试，这往往会给黑灰产留下足够的攻击时间，防护效果大大折扣。由于已有的这些防护方案，防护效果都比较有限，因此我们需要考虑小程序自身的特性，结合黑灰产攻击情报和案例的分析，量身打造适用于小程序的安全防护。

友情提示

1、下载报告失败解决办法
2、PDF文件下载后，可能会被浏览器默认打开，此种情况可以点击浏览器菜单，保存网页到桌面，就可以正常下载了。
3、本站不支持迅雷下载，请使用电脑自带的IE浏览器，或者360浏览器、谷歌浏览器下载即可。
4、本站报告下载后的文档和图纸-无水印,预览文档经过压缩，下载后原文更清晰。

本文（永安在线：基于微信小程序生态体系的黑灰产研究报告（27页）.pdf）为本站 （半声） 主动上传，三个皮匠报告文库仅提供信息存储空间，仅对用户上传内容的表现方式做保护处理，对上载内容本身不做任何修改或编辑。 若此文所含内容侵犯了您的版权或隐私，请立即通知三个皮匠报告文库（点击联系客服），我们立即给予删除！

温馨提示：如果因为网速或其他原因下载失败请重新下载，重复下载不扣分。
客服
商务合作
小程序
服务号
会员动态
会员动态 会员动态：

 131**37... 升级为标准VIP 钟**  升级为至尊VIP

 wei**n_... 升级为至尊VIP 139**46...  升级为标准VIP

  wei**n_... 升级为标准VIP   wei**n_... 升级为高级VIP

150**80...  升级为标准VIP wei**n_...  升级为标准VIP 

GT 升级为至尊VIP 186**25... 升级为标准VIP  

  wei**n_... 升级为至尊VIP 150**68... 升级为至尊VIP 

 wei**n_... 升级为至尊VIP  130**05...  升级为标准VIP

 wei**n_... 升级为高级VIP   wei**n_... 升级为高级VIP

wei**n_... 升级为高级VIP    138**96... 升级为标准VIP

135**48...  升级为至尊VIP wei**n_... 升级为标准VIP  

肖彦 升级为至尊VIP  wei**n_...  升级为至尊VIP

 wei**n_... 升级为高级VIP wei**n_...  升级为至尊VIP

国**... 升级为高级VIP 158**73...  升级为高级VIP

 wei**n_... 升级为高级VIP  wei**n_...  升级为标准VIP

wei**n_...  升级为高级VIP 136**79... 升级为标准VIP 

沉**... 升级为高级VIP  138**80...  升级为至尊VIP

138**98...  升级为标准VIP wei**n_...  升级为至尊VIP

  wei**n_... 升级为标准VIP wei**n_... 升级为标准VIP 

wei**n_... 升级为至尊VIP 189**10...  升级为至尊VIP

wei**n_... 升级为至尊VIP  準**...  升级为至尊VIP

151**04... 升级为高级VIP   155**04... 升级为高级VIP

wei**n_...  升级为高级VIP sha**dx... 升级为至尊VIP

186**26... 升级为高级VIP  136**38...  升级为标准VIP 

182**73...  升级为至尊VIP 136**71... 升级为高级VIP  

139**05...  升级为至尊VIP   wei**n_... 升级为标准VIP

 wei**n_... 升级为高级VIP  wei**n_... 升级为标准VIP

微**... 升级为标准VIP   Bru**Cu... 升级为高级VIP 

155**29... 升级为标准VIP   wei**n_...  升级为高级VIP

爱**... 升级为至尊VIP    wei**n_... 升级为标准VIP

 wei**n_... 升级为至尊VIP  150**02... 升级为高级VIP 

 wei**n_... 升级为标准VIP  138**72... 升级为至尊VIP 

wei**n_... 升级为高级VIP  153**21... 升级为标准VIP  

 wei**n_... 升级为高级VIP   wei**n_... 升级为高级VIP

ji**yl  升级为高级VIP DAN**ZD... 升级为高级VIP  

wei**n_...  升级为至尊VIP wei**n_...   升级为高级VIP

wei**n_... 升级为至尊VIP   186**81... 升级为高级VIP

wei**n_...  升级为高级VIP  wei**n_... 升级为高级VIP

 wei**n_... 升级为至尊VIP  wei**n_... 升级为标准VIP

 wei**n_... 升级为高级VIP  升级为至尊VIP

msl**ng 升级为高级VIP 刷**  升级为至尊VIP

 186**12... 升级为高级VIP 186**00... 升级为至尊VIP

182**12...  升级为高级VIP 185**05... 升级为至尊VIP

  Za**ry 升级为标准VIP wei**n_...  升级为高级VIP

183**46... 升级为高级VIP 孙**   升级为标准VIP

wei**n_... 升级为至尊VIP  wei**n_... 升级为高级VIP 

wei**n_...  升级为至尊VIP    微**... 升级为至尊VIP

180**79...  升级为标准VIP Nik**us  升级为至尊VIP 

138**86...  升级为高级VIP  wei**n_... 升级为标准VIP

183**37... 升级为高级VIP  wei**n_... 升级为标准VIP  

wei**n_...  升级为标准VIP 159**85... 升级为至尊VIP