SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场platform-interaction-review

platform-interaction-review

安全与审计

查看项目

更新于 10-17 16:19

技能介绍

Platform Interaction Review（MASVS-PLATFORM）是一个移动应用安全审计技能，聚焦平台交互安全。其目标是对指定代码库进行审计，检查是否符合 OWASP MASVS-PLATFORM 控制项及 MASTG 测试要求；若未提供路径，则审计当前工作目录。

用途

该技能用于审计移动应用在平台交互层面的安全配置，覆盖 Android 与 iOS 的进程间通信（IPC）、WebView、深链接/通用链接以及用户界面数据暴露防护。

主要能力

  1. IPC 机制分析
  • Android：检查 Intent、sendBroadcast、startActivity、startService 等隐式意图是否携带敏感数据；验证非对外组件的 exported="false"；检查 intent filter 是否过宽；检查 ContentProvider 的导出状态、权限声明、SQL 注入与路径穿越防护；检查 BroadcastReceiver 的权限与敏感数据；验证绑定服务认证与 AIDL 安全；检查 PendingIntent 是否使用 FLAG_IMMUTABLE。
  • iOS：读取 Info.plist 中 CFBundleURLTypes，验证 URL scheme 处理器的输入校验与净化；检查 URL 参数中的敏感数据；检查 Universal Links 的 apple-app-site-association 与 Associated Domains；检查 App Extension 数据共享边界；检查 UIPasteboard 的 sensitive 数据处理；检查 App Groups 共享容器访问控制。
  1. WebView 安全分析
  • Android：检查 WebView、WebViewClient、WebChromeClient；标记 setJavaScriptEnabled(true) 在加载不可信内容时的风险；验证 addJavascriptInterface 的 @JavascriptInterface 注解与输入校验；要求 setAllowFileAccess、setAllowFileAccessFromFileURLs、setAllowUniversalAccessFromFileURLs 均为 false；验证加载 URL 白名单与 shouldOverrideUrlLoading；检查 onReceivedSslError 不得无条件调用 handler.proceed()。
  • iOS：验证使用 WKWebView 而非废弃的 UIWebView；检查 WKWebViewConfiguration 的 JavaScript 偏好；验证 WKScriptMessageHandler 对 web 内容消息的校验；检查 decidePolicyFor navigationAction 的 URL 验证；确认对不可信内容禁用 javaScriptCanOpenWindowsAutomatically。
  1. 深链接/应用链接安全：验证所有深链接处理器对输入参数的校验与净化；检查开放重定向；确认深链接不能在没有额外认证的情况下触发敏感操作；Android 检查 android:autoVerify="true"；iOS 优先使用 Universal Links 而非自定义 URL scheme。
  2. UI 安全：检查截图防护（Android FLAG_SECURE、iOS 后台截图处理）；检查屏幕录制防护；Android 检查 filterTouchesWhenObscured 或 SYSTEM_ALERT_WINDOW 检测；验证密码字段使用 inputType="textPassword"（Android）或 secureTextEntry（iOS）；确认敏感界面在任务切换器中模糊化。
  3. MASTG 测试映射：将发现项对应到 MASTG-TEST-0007、0008、0028、0029、0030、0056、0075、0077、0250、0251 等测试编号。

使用方式

调用时提供目标代码库路径（$ARGUMENTS），未提供则审计当前工作目录。技能按步骤执行：IPC 机制分析、WebView 安全分析、深链接/应用链接安全、UI 安全、MASTG 测试映射，最终输出结构化报告。

输出格式

报告包含：IPC 暴露面映射（所有 IPC 机制及其暴露级别）、WebView 清单（每个实例及配置）、深链接分析（注册的 scheme/链接及处理器）、UI 安全评估（截图、叠加层、数据暴露防护）、发现项（严重性、MASVS 控制项、MASTG 测试 ID、文件:行、代码片段、修复建议）、合规总结（MASVS-PLATFORM-1、PLATFORM-2、PLATFORM-3 的通过/失败状态）。

适用场景

适用于移动应用安全审计、代码审查、合规检查以及开发过程中的平台交互安全自查。

限制

该技能基于代码库静态审查，不包含动态运行时测试；其审计标准为 OWASP MASVS-PLATFORM 与 MASTG 测试，未提供其他收费标准、平台兼容性或效果保证。