什么是签名？服务器和APP之间的API接口和数据怎么保证安全

apk签名相当于程序的身份识别代码。

apk签名用于程序编译打包之后，手机在运行程序之前会先去验证程序的签名（可以看作类似于我们电脑上常说的md5）是否合法，只有通过了验证的文件才会被运行，所以签名软件的作用的让文件通过手机的验证为合法，不同的手机、系统是对应不同的签名的。

进行加密通讯防止API外部调用

服务器端与客户端各自会存储一个TOKEN,这个TOKEN我们为了防止反编译是用C语言来写的一个文件并做了加壳和混淆处理。

在客户端访问服务器API任何一个接口的时候，客户端需要带上一个特殊字段，这个字段就是签名signature，签名的生成方式为：

访问的接口名+时间戳+加密TOKEN 进行整体MD5,并且客户端将本地的时间戳作为明文参数提交到服务器

服务器首先会验证这两个参数：验证时间戳，如果时间误差与服务器超过正负一分钟，服务器会拒绝访问(防止被抓包重复请求服务器，正负一分钟是防止时间误差，参数可调整)，

然后服务器会根据请求的API地址和提交过来的时间戳再加上本地存储的token按照MD5重新生成一个签名，并比对签名，签名一致才会通过服务器的验证，进入到下一步的API逻辑

最简单的办法：1你需要知道对方的apple ID和密码；2对方手机设置中icloud选项下‘查找我的iphone’功能必须打开。符合以上条件，登陆，登陆，进入查找我的iphone即可。苹果手机升级，刷机，恢复后都是需要使用ID账号密码来激活手机的，如果忘记就无法正常激活手机，也就没有法使用了。如果用户忘记ID账号密码可以尝试找回，如果使其它用户激活的手机可以尝试联系此人索取ID账号密码。苹果ID账号即是当初注册ID时绑定的邮箱账户。ID密码可以前往苹果官网重置密码，打开苹果的AppleID管理页面：/cn，点击页面中的“重设密码”链接。进入网站后输入AppleID账户名，选择重置密码，点击下一步按继续。选择用电子邮件来找回密码的方法，点击下一步按钮。随后系统提示一封用于恢复密码的电子邮件已经发出。打开邮箱，会在收件箱中看到一封来自Apple发来的用于重设密码的邮件，如果没有的话，请检查是否在邮箱的垃圾箱中。打开邮件以后，点击邮件中的立即重设链接。重置密码的页面，按照AppleID的密码要求，输入二次新密码并点击重设密码按钮就可以了。如果无法找回ID账号密码，可以尝试致电苹果客服，申请重置ID，但是如果申请不通过，那就没有法了。在设置——itunes store和app store里面就可以看到你的apple id用户名，但是没法查看密码的，点击忘记了AppleID。2、进入页面后，输入注册Apple ID账号时设置姓氏和名字，还有注册Apple ID账号时用的邮箱。3、然后使用注册时邮箱或者通过安全问答找回Apple ID账号。不是用户所有去过的地点，苹果手机都会记录下来。要想在手机上留下记录，要先满足三个条件：去的地点网络信号比较好；手机定位功能启用；在去的地方使用了GPS应用软件。而且即使满足了这三个条件，也不一定就会有。要想不泄露用户的位置信息，关掉“常去地点”这一功能还不够，必须关闭“定位服务”才行。如果用户不需要，可以在菜单中对历史记录进行清除，关闭“常去地点”这一功能。这样即使别人捡到了这个手机，也看不到手机上有的“常去地点”记录。重新申请一个IPHONE的ID，以IPHONE5为例：打开iPhone5手机中的设置。屏幕下拉进入到iTunes Store和App Store。按一下创建新的Apple ID。在新建账户国家与地区里面选择中国，然后下方同意条款。输入邮箱地址和密码，以及选取三个安全问题，设置好问题答案。还有出生日期，救援邮箱可以不用填写，直接按下一步。在付款方式里面勾选银行卡，帐单寄送地址里面依次输入姓、名、地址、邮编、市级行政区、省份、电话。登录注册Apple ID用的邮箱收取验证邮件。邮件验证完成后即可完成操作。

摘要：智能手机带给人们方便的同时，也存在很多安全漏洞，威胁个人信息安全。手机安全隐患种类有哪些？下面，为您盘点几种常见的手机安全问题。

智能手机安全隐患手机存在哪些安全问题

网络钓鱼

网络钓鱼是指不法分子通过大量发送声称来自于银行，或其他知名机构的欺骗性垃圾邮件或短信、即时通讯信息等，引诱收信人给出敏感信息（如用户名、口令、账号ID或信用卡详细信息），然后利用这些信息假冒受害者进行欺诈性金融交易，从而获得经济利益。

木马病毒

特洛伊木马是一种基于远程控制的黑客工具，它通常会伪装成程序包、压缩文件、、视频等形式，通过网页、邮件等渠道引诱用户下载安装，如果用户打开了此类木马程序，用户的电脑或手机等电子设备便会被编写木马程序的不法分子所控制，从而造成信息文件被修改或窃取、电子账户资金被盗用等危害。

伪基站

伪基站一般由主机和笔记本电脑组成，不法分子通过伪基站能搜取设备周围一定范围内的手机卡信息，并通过伪装成运营商的基站，冒充任意的手机号码强行向用户手机发送诈骗、广告推销等短信息。

信息泄露

目前某些中小网站的安全防护能力较弱，容易遭到黑客攻击，不少注册用户的用户名和密码便因此泄露。而如果用户的支付账户设置了相同的用户名和密码，则极易发生盗用。

反编译修改

APP相当于在用户手机上安装了一套软件，这套软件不能自成一体，必须调用服务器的接口获取数据，从而在手机上展示；安装了APP的用户都有机会将其反编译并修改，从而深入研究了解系统的业务逻辑并随心所欲的获取服务器任意数据。而B/S架构的程序文件全部安装在服务器上，客户端无法获取任何代码，服务器都有防火墙、防入侵等软硬件安全措施层层保障，普通用户要想获得系统程序文件几部不可能。单从这一点看APP应用毫无安全性可言。

非法软件侵入

因为手机属于个人并且联网，在浏览网页下载应用的过程中不知不觉就可能被安装了各种非法软件，有些无良厂商在安装手机应用的过程中后台自动植入其后门软件，这些软件窃取窃听数据信息都是在后台不知不觉中进行的，用户毫不知情，数据就可能已经被人获取分析利用了。

人为恶意窃取数据

单位中不少人特别是领导对于andriod、ios等复杂的安装配置操作并不熟悉，往往需要系统管理员或者其他精通技术的人来协助其安装配置，如果系统管理员心思不正悄悄安装了窃听或木马软件在其手机，那么将来此领导的通话、其处理的工作审批等都将被非法获取，其个人乃至整个单位都处于极大的安全隐患之中。

数据安全保密性无保障

一般使用手机APP应用时人们都习惯设置自动登录，这样一旦手机被他人使用或者丢失等情况发生时，办公系统中单位内部数据或机密信息无疑将被泄露。

单位机密信息传播范围无法控制

因为手机具有移动的特点，所以通信信号非常不稳定，所有手机APP应用软件一般都会把系统数据下载到手机设备中保存，从而实现系统的连贯性，这样一来本来只能在单位内部传阅的文件、资料、审批单据等就可能因为手机的移动而被扩散到了任意地点，给单位内部的信息安全造成威胁。

智能手机操作系统的技术积累不够，系统漏洞多

智能手机操作系统的漏洞缺陷众多，因此，andriod、ios等主流操作系统几乎不到一年时间就会推出一个大版本的升级计划，手机APP一般无法及时修改更新，如果出现安全漏洞将会给单位的信息安全造成损失。

说到APP和小程序的安全，首先要明确安全它是具体指的是什么内容？安全是指用户正常的访问我们的网站是否会泄露用户的隐私、账户、资金等等信息。我们的服务器是不是会被攻击？用户的行为是否会轻松的被黑客破解。而这些问题的产生觉大多数都是需要靠后端服这边来做安全的防护和过滤。所以安全不安全更重要的是后端的防护与系统的漏洞。

小程序会更安全

小程序是一种不需要下载安装即可使用的应用，它是依托于安装后应用程序的媒介。目前主流的小程序有支付宝、微信、今日头条、百度智能小程序和手机商合作的快应用等主流的小程序。

一、小程序审核

小程序发布时，都需要把这些小程序、快应用都是提交到各大平台后台，平台进行审核通过后方可来进行使用。故如果是想在微信小程序里面做用户数据的获取那么你发布的小程序将不会通过审核。因为觉得觉得大多数攻击的方式都需要做后台的预备，如果审核被干掉。就不会有存在。

二、攻击媒介

例如：微信小程序。理论上来说，如果可以突破小程序的执行环境(JS)，就可以直接在微信的主程序中获得代码执行，就成功制造了代码执行的漏洞，类似于我们直接运行微信来使用。如：执行一个小程序，就可以往任意群中发红包。

但是像各大平台对于应用的安全防护肯定是有的。特别是在支付这一块。调用支付的时候都会做到秘钥的效验。通过这个来做到身份辨别。

三、执行环境单一

在Android上，小程序使用X5内核接口;而在iOS上，小程序使用的是JSCore接口。这些执行上面它都是js来进行用户事件的操作。但是你js的代码它需要有特点的标记才可以。但是在开发商开发的时候都是会做到预处理(就是让js执行的语法标记失效，变成普通的文本)。

在通讯上面我们还会做到数据的加密传输、验证证书、防止别人抓包、token防护等等。

数据上面也会做到加密的效验

APP渗透测试目前包含了Android端+IOS端的漏洞检测与安全测试，前段时间某金融客户的APP被黑客恶意攻击，导致APP里的用户数据包括平台里的账号，密码，手机号，姓名都被信息泄露，通过老客户的介绍找到我们SINE安全公司寻求安全防护上的技术支持，防止后期APP被攻击以及数据篡改泄露等安全问题的发生。针对于客户发生的网站被黑客攻击以及用户资料泄露的情况，我们立即成立了SINE安全移动端APP应急响应小组，关于APP渗透测试的内容以及如何解决的问题我们做了汇总，通过这篇文章来分享给大家。

首先要了解客户的情况，知彼知己百战不殆，客户APP架构开发是Web（php语言）+VUE框架，服务器采用的是Linuxcentos系统，数据库与WEBAPP端分离，通过内网进行传输，大部分金融以及虚拟币客户都是采用此架构，有的是RDS数据库，也基本都是内网传输，杜绝与前端的连接，防止数据被盗，但是如果前端服务器（APP）存在漏洞导致被黑客攻击，那么攻击者很有可能利用该服务器的权限去远程连接数据库端，导致数据泄露，用户信息被**的可能。

然后对客户服务器里的APP代码，以及网站PHP源文件进行代码的安全审计，以及网站木马文件的检测与清除，包括网站漏洞测试与挖掘，我们SINE安全都是人工进行代码的安全审计与木马检查，下载了客户代码到本地电脑里进行操作，包括了APP的网站访问日志，以及APP的Android端+IOS端文件也下载了一份到手机里。我们在检测到客户APP里的充值功能这里存在SQL注入漏洞，因为本身网站选择的是thinkphp框架二次开发的，程序员在写功能的时候未对充值金额的数值进行安全判断，导致可以远程插入恶意的SQL注入代码到服务器后端进行操作，SQL注入漏洞可以查询数据库里的任何内容，也可以写入，更改，通过配合日志的查询，我们发现该黑客直接读取了APP后台的管理员账号密码，客户使用的后台地址用的是二级域名，开头是adminXXXXXcom，导致攻击者直接登录后台。我们在后台的日志也找到黑客的登录访问后台的日志，通过溯源追踪，黑客的IP是菲律宾的，还发现后台存在文件上传功能，该功能的代码我们SINE安全对其做了详细的人工代码安全审计与漏洞检测，发现可以上传任意文件格式漏洞，包括可以上传PHP脚本木马。

攻击者进一步的上传了已预谋好的webshell文件，对APP里的网站数据库配置文件进行了查看，利用APP前端服务器的权限去连接了另外一台数据库服务器，导致数据库里的内容全部被黑客打包导出，此次安全事件的根源问题才得以明了，我们SINE安全技术继续对该金融客户的APP网站代码进行审计，总共发现4处漏洞，1，SQL注入漏洞，2，后台文件上传漏洞。3，XSS跨站漏洞,4，越权查看其它用户的银行卡信息漏洞。以及APP前端里共人工审计出6个网站木马后门文件，包含了PHP大马，PHP一句话木马，PHP加密，PHP远程调用下载功能的代码，mysql数据库连接代码，EVAL免杀马等等。

我们SINE安全对SQL注入漏洞进行了修复，对get,post,cookies方式提交的参数值进行了安全过滤与效验，限制恶意SQL注入代码的输入，对文件上传漏洞进行修复，限制文件上传的格式，以及后缀名，并做了文件格式白名单机制。对XSS跨站代码做了转义，像经常用到的<>script等等的攻击字符做了拦截与转义功能，当遇到以上恶意字符的时候自动转义与拦截，防止前端提交到后台中去。对越权漏洞进行银行卡查看的漏洞做了当前账户权限所属判断，不允许跨层级的查看任意银行卡信息，只能查看所属账户下的银行卡内容。对检测出来的木马后门文件进行了隔离与强制删除，并对网站安全进行了防篡改部署，以及文件夹安全部署，服务器底层的安全设置，端口安全策略，等等的一系列安全防护措施。

至此客户APP渗透测试中发现的网站漏洞都已被我们SINE安全修复，并做了安全防护加固，用户信息泄露的问题得以解决，问题既然发生了就得找到漏洞根源，对网站日志进行溯源追踪，网站漏洞进行安全测试，代码进行安全审计，全方面的入手才能找出问题所在，如果您的APP也被攻击存在漏洞，不知道该如何解决，修复漏洞，可以找专业的网站安全渗透测试公司来解决，国内SINESAFE，鹰盾安全，绿盟，启明星辰，深信服都是比较专业的、也由衷的希望我们此次的安全处理过的分享能够帮到更多的人，网络安全了，我们才能放心的去运营APP。