Android安全攻防实践 pdf epub mobi txt 电子书下载 2026

简体网页||繁体网页

☆☆☆☆☆

出版者:人民邮电出版社

作者:[印] Srinivasa Rao Kotipalli Mohammed A. Imran

出品人:

页数:264

译者:李　骏

出版时间:2018-4

价格:59.00元

装帧:平装

isbn号码:9787115480262

丛书系列:图灵程序设计丛书·移动开发系列

图书标签:

安全
Android
Android安全
移动安全
应用安全
逆向工程
漏洞分析
安全攻防
实战
代码审计
渗透测试
加壳脱壳

下载链接在页面底部

facebook linkedin mastodon messenger pinterest reddit telegram twitter viber vkontakte whatsapp 复制链接

想要找书就要到图书目录大全

book.wenda123.org

立刻按 ctrl+D收藏本页

你会得到大惊喜!!

具体描述

本书以搭建安卓安全所需的实验环境开篇，首先介绍了ROOT 安卓设备的常用工具和技术，并分析了安卓应用的基本架构，接着从数据存储、服务器端、客户端等方面讲解了安卓应用可能面临的安全风险；最后给出了一些避免恶意攻击的方法。另外，本书还涉及了多个案例，步骤详实，通俗易懂。

《Java编程艺术：从入门到精通》简介：踏入Java编程的广阔世界，开启您的编码之旅。本书专为初学者和希望深化理解的开发者量身打造，以其清晰的讲解、丰富的实例和循序渐进的引导，助您掌握Java的核心概念，构建坚实的编程基础，并最终成为一名自信的Java开发者。本书内容概述：第一部分：Java基础入门第一章：Java语言概览 Java的历史与发展 Java的跨平台特性（Write Once, Run Anywhere） Java开发环境搭建（JDK安装与配置）第一个Java程序：Hello, World! Java程序的编译与运行流程第二章：Java基本语法数据类型（基本数据类型与引用数据类型）变量与常量运算符（算术、关系、逻辑、赋值、位运算符等）控制流语句（if-else, switch-case）循环结构（for, while, do-while）注释与代码风格第三章：面向对象编程（OOP）初探类（Class）与对象（Object）的概念类的定义与实例化构造方法（Constructor）访问修饰符（public, private, protected, default）封装（Encapsulation）的概念与实现第四章：Java核心数据结构数组（Array）：一维数组、多维数组的声明、创建与使用字符串（String）：String类的常用方法与操作 StringBuilder与StringBuffer：可变字符串的应用第二部分：Java进阶探索第五章：面向对象编程（OOP）深入继承（Inheritance）：is-a关系，super关键字，方法重写（Override）多态（Polymorphism）：向上转型与向下转型，运行时多态抽象类（Abstract Class）与抽象方法接口（Interface）：定义规范，实现多重继承 Object类：所有类的根基，hashCode()与equals()方法第六章：异常处理（Exception Handling）异常的概念与分类（Checked Exceptions, Unchecked Exceptions） try-catch-finally语句块 throw与throws关键字自定义异常异常处理的最佳实践第七章：Java集合框架（Java Collections Framework）集合框架概述：List, Set, Map接口 List接口的实现类：ArrayList, LinkedList Set接口的实现类：HashSet, TreeSet, LinkedHashSet Map接口的实现类：HashMap, TreeMap, LinkedHashMap 迭代器（Iterator）的使用泛型（Generics）：类型安全，消除强制类型转换第八章：输入/输出（I/O）流 I/O流的概念与体系结构字节流（InputStream, OutputStream）字符流（Reader, Writer）文件操作：File类的使用，文件读写缓冲流：BufferedReader, BufferedWriter 对象序列化（Serialization）第三部分：Java高级特性与实践第九章：多线程（Multithreading）线程的概念与生命周期创建线程的两种方式：继承Thread类，实现Runnable接口线程同步（Synchronization）：synchronized关键字，Lock接口线程间通信：wait(), notify(), notifyAll() 线程池（Thread Pool）并发编程的挑战与注意事项第十章：Java反射（Reflection）反射机制的概念与用途获取Class对象访问和修改类成员（字段、方法、构造方法）动态创建对象反射的应用场景第十一章：网络编程基础 TCP/IP协议简介 Socket编程：ServerSocket与Socket 简单的客户端-服务器通信示例 URL与URLConnection 第十二章：Java 8 新特性（Lambda表达式与Stream API） Lambda表达式：函数式编程的引入 Stream API：集合元素的声明式处理 Stream的中间操作与终端操作 Stream API在集合操作中的优势第十三章：常用Java API详解日期与时间API（java.time包）正则表达式（java.util.regex包） Math类 Random类第十四章：构建工具与项目管理 Maven：项目构建、依赖管理 Gradle：现代化的构建工具单元测试：JUnit框架第十五章：Java编程最佳实践与设计模式代码重构与优化 SOLID设计原则常用设计模式解析（单例模式、工厂模式、观察者模式等）如何编写可维护、可扩展的代码本书特色：循序渐进：从最基础的概念讲起，逐步深入到高级主题，确保您能稳步提升。实践驱动：大量精选的、经过验证的编程示例，覆盖各种实际应用场景，让您学以致用。清晰易懂：使用简洁明了的语言，辅以图示和类比，化繁为简，帮助理解抽象概念。全面覆盖：涵盖Java语言的核心特性、标准库和现代开发实践，助您成为一名全栈Java开发者。提升思维：不仅传授语法，更引导您培养面向对象的思维模式和解决问题的能力。无论您是计算机专业的学生，还是渴望转行进入IT行业的职场人士，亦或是希望系统学习Java以提升工作效率的开发者，《Java编程艺术：从入门到精通》都将是您最可靠的伙伴，陪伴您在Java的海洋中乘风破浪，最终抵达精通的彼岸。

作者简介

Srinivasa Rao Kotipalli (@srini0x00)

是一位印度安全研究员，他在 Web应用、基础架构、移动安全评估等领域有着丰富的实践经验。他曾在印度塔塔咨询服务公司工作了两年半，担任安全顾问，后来加入了马来西亚的一家创业公司。他曾为印度、马来西亚、文莱以及越南等国家的多个组织提供了Web、基础架构、移动渗透测试等方面的培训课程。

Mohammed A. Imran (@secfigo)

是一位有着丰富经验的应用安全工程师，同时也是非营利组织null Singapore和null Hyderabad的创始人，拥有六年多的产品安全和咨询经验。他的大部分时间都在进行渗透测试、缺陷评估以及Web和移动应用的源代码审查。

目录信息

第1章　实验环境搭建　　1
1.1　安装工具　　1
1.2　Android Studio　　4
1.3　安装安卓虚拟机　　13
1.3.1　真实设备　　15
1.3.2　Apktool　　16
1.3.3　Dex2jar/JD-GUI　　17
1.3.4　Burp Suite　　18
1.4　配置安卓虚拟机　　19
1.4.1　Drozer　　20
1.4.2　QARK（不支持Windows）　　24
1.4.3　Chrome浏览器的Advanced REST Client扩展程序　　25
1.4.4　Droid Explorer　　26
1.4.5　Cydia Substrate和Introspy　　27
1.4.6　SQLite browser　　28
1.4.7　Frida　　30
1.4.8　易受攻击的应用　　32
1.4.9　Kali Linux　　33
1.5　adb入门　　33
1.5.1　检查已连接的设备　　33
1.5.2　启动shell　　34
1.5.3　列出软件包　　34
1.5.4　推送文件到设备　　35
1.5.5　从设备中拉取文件　　35
1.5.6　通过adb安装应用　　35
1.5.7　adb连接故障排除　　36
1.6　小结　　36
第2章　安卓ROOT　　37
2.1　什么是ROOT　　37
2.1.1　为什么要ROOT设备　　38
2.1.2　ROOT的好处　　38
2.1.3　ROOT的坏处　　39
2.2　锁定的和已解锁的boot loader　　41
2.2.1　确定索尼设备是否已解锁boot loader　　41
2.2.2　按照供应商提供的方法解锁索尼设备的boot loader　　43
2.2.3　ROOT已解锁boot loader的三星设备　　46
2.3　官方recovery和第三方recovery　　46
2.4　ROOT流程和安装第三方ROM　　49
2.5　ROOT三星Note 2手机　　53
2.6　向手机刷入第三方ROM　　55
2.7　小结　　60
第3章　安卓应用的基本构造　　61
3.1　安卓应用的基础知识　　61
3.1.1　安卓应用的结构　　61
3.1.2　APK文件的存储位置　　63
3.2　安卓应用的组件　　67
3.2.1　activity　　67
3.2.2　服务　　68
3.2.3　广播接收器　　69
3.2.4　内容提供程序　　69
3.2.5　安卓应用的构建过程　　69
3.3　从命令行编译DEX文件　　72
3.4　应用运行时发生了什么　　74
3.5　理解应用沙盒　　75
3.5.1　一个应用对应一个UID　　75
3.5.2　应用沙盒　　78
3.5.3　是否有方法打破沙盒限制　　80
3.6　小结　　80
第4章　安卓应用攻击概览　　81
4.1　安卓应用简介　　81
4.1.1　Web应用　　81
4.1.2　原生应用　　82
4.1.3　混合应用　　82
4.2　理解应用攻击面　　82
4.3　客户端存在的威胁　　84
4.4　后端存在的威胁　　84
4.5　移动应用测试与安全指南　　85
4.5.1　OWASP移动应用十大风险（2014）　　85
4.5.2　M1：弱服务器端控制　　86
4.5.3　M2：不安全的数据存储　　86
4.5.4　M3：传输层保护不足　　87
4.5.5　M4：意外的数据泄漏　　87
4.5.6　M5：糟糕的授权和身份认证　　87
4.5.7　M6：被破解的加密技术　　88
4.5.8　M7：客户端注入　　88
4.5.9　M8：通过不受信任的输入进行安全决策　　88
4.5.10　M9：会话处理不当　　88
4.5.11　M10：缺乏二进制文件保护　　89
4.6　自动化工具　　89
4.6.1　Drozer　　89
4.6.2　使用Drozer进行安卓安全评估　　90
4.7　识别攻击面　　92
4.8　QARK　　94
4.8.1　以交互模式运行QARK　　94
4.8.2　以无缝模式运行QARK　　100
4.9　小结　　102
第5章　数据存储与数据安全　　103
5.1　什么是数据存储　　103
5.2　共享首选项　　107
5.3　SQLite数据库　　110
5.4　内部存储　　111
5.5　外部存储　　113
5.6　用户字典缓存　　115
5.7　不安全的数据存储——NoSQL数据库　　115
5.8　备份技术　　118
5.8.1　使用adb backup命令备份应用数据　　119
5.8.2　使用Android Backup Extractor将.ab格式转换为.tar格式　　120
5.8.3　使用pax或star工具解压TAR文件　　122
5.8.4　分析解压内容并查找安全问题　　122
5.9　确保数据安全　　125
5.10　小结　　125
第6章　服务器端攻击　　126
6.1　不同类型的移动应用及其威胁模型　　127
6.2　移动应用服务器端的攻击面　　127
6.3　移动后端测试方法　　128
6.3.1　设置用于测试的Burp Suite代理　　128
6.3.2　绕过证书锁定　　136
6.3.3　使用AndroidSSLTrustKiller绕过证书锁定　　137
6.3.4　后端威胁　　139
6.4　小结　　145
第7章　客户端攻击——静态分析技术　　146
7.1　攻击应用组件　　146
7.1.1　针对activity的攻击　　146
7.1.2　针对服务的攻击　　151
7.1.3　针对广播接收器的攻击　　153
7.1.4　对内容提供程序的攻击　　155
7.1.5　注入测试　　160
7.2　使用QARK进行静态分析　　164
7.3　小结　　166
第8章　客户端攻击——动态分析技术　　167
8.1　使用Drozer进行安卓应用自动化测试　　167
8.1.1　列出全部模块　　168
8.1.2　检索包信息　　169
8.1.3　查找目标应用的包名　　170
8.1.4　获取包信息　　170
8.1.5　转储AndroidManifes.xml文件　　171
8.1.6　查找攻击面　　172
8.1.7　针对activity的攻击　　173
8.1.8　针对服务的攻击　　175
8.1.9　广播接收器　　176
8.1.10　使用Drozer引起内容提供程序泄漏和进行SQL注入　　177
8.1.11　使用Drozer进行SQL注入攻击　　179
8.1.12　内容提供程序目录遍历攻击　　182
8.1.13　利用可调试的应用　　184
8.2　Cydia Substrate简介　　186
8.3　使用Introspy进行运行时监控与分析　　187
8.4　使用Xposed框架进行hook　　191
8.5　使用Frida进行动态插桩　　198
8.6　基于日志的漏洞　　201
8.7　WebView攻击　　203
8.7.1　通过file scheme访问本地敏感资源　　203
8.7.2　其他WebView问题　　206
8.8　小结　　207
第9章　安卓恶意软件　　208
9.1　编写安卓恶意软件　　209
9.2　注册权限　　216
9.3　恶意应用分析　　226
9.3.1　静态分析　　226
9.3.2　动态分析　　232
9.4　自动化分析工具　　236
9.5　小结　　236
第10章　针对安卓设备的攻击　　237
10.1　中间人攻击　　237
10.2　来自提供网络层访问的应用的威胁　　239
10.3　利用现有漏洞　　243
10.4　恶意软件　　246
10.5　绕过锁屏　　247
10.5.1　利用adb绕过图案锁　　247
10.5.2　使用adb绕过密码或PIN码　　249
10.5.3　利用CVE-2013-6271漏洞绕过锁屏　　252
10.6　从SD卡拉取数据　　252
10.7　小结　　253
· · · · · · (收起)

读后感

评分☆☆☆☆☆

用户评价

评分☆☆☆☆☆

我以一个侧重于应用逆向分析的角度来审视这本书，它的价值体现得淋漓尽致。市面上很多教材在讲解逆向工具的使用时，往往只停留在基础命令层面，但此书却将工具链的整合运用提升到了艺术的境界。从Frida脚本的编写技巧，到如何高效地Hook敏感API并对抗加固技术的混淆，作者都给出了令人耳目一新的见解。我尤其推崇其中对运行时代码插桩和内存取证部分的论述，那种细致入微的描述，仿佛带着读者一步步进入到Dalvik字节码的执行流中去。阅读过程中，我反复停下来，对照自己手中正在分析的App案例进行思考和验证，发现很多困扰已久的技术瓶颈，在书中的某个角落找到了突破口。它不仅仅是教你“怎么做”，更重要的是解释了“为什么这么做”背后的安全原理和攻击者的思维模式。对于希望从初级分析师跃升到高级漏洞挖掘专家的同仁们，这本书提供的洞察力是无可替代的。

评分☆☆☆☆☆

作为一名资深的渗透测试顾问，我最欣赏这本书在“红队视角”下的实用主义精神。很多教科书偏重于防御，但这本书却慷慨地展示了如何系统性地、高效地发现系统中的隐藏弱点。它对漏洞利用链的构建过程描绘得极富感染力，从最初的信息收集阶段，到特权获取，再到最终的权限维持，每一步都辅以详尽的步骤拆解。我特别留意了其中关于系统服务提权和启动项劫持的章节，这些往往是企业级安全审计中最容易被忽视的深层入口。作者的文风中带着一种老兵特有的沉稳与犀利，毫不拖泥带水，直击核心。阅读时，我的脑海中不断浮现出过去测试中遇到的棘手难题，而书中提供的思路正好可以用来构建新的测试框架。这本书，与其说是理论著作，不如说是一本被精心编排的、面向实战的工具手册。

评分☆☆☆☆☆

这本书的排版和逻辑结构非常适合自学和系统学习。我不是科班出身，对移动安全领域的知识点往往是碎片化吸收的，但这本书通过清晰的章节划分和循序渐进的难度递增，帮助我建立了一个完整的知识地图。从最基础的APK结构分析开始，逐步深入到针对特定组件（如Service、BroadcastReceiver）的安全加固与绕过技巧，这种由表及里的讲解方式极大地降低了我的学习曲线。即便遇到一些晦涩的加密算法或内核级概念，作者也能用精准的图表和简练的语言进行阐释，避免了不必要的晦涩感。它就像一位耐心的导师，在你迷茫时提供方向，在你取得进展时给出更进一步的挑战。我尤其欣赏它在每章末尾提供的“思考题”或“延伸阅读”建议，这鼓励读者主动去探索和验证所学知识，真正将理论转化为能力。

评分☆☆☆☆☆

从一个安全产品经理的角度来看，这本书为我提供了构建安全基线和制定安全规范的坚实理论支撑。我关注的重点是如何将这些技术风险转化为可量化的业务风险，并指导研发团队进行有效的防御。书中对常见漏洞的归类和严重性评定，非常贴合工业界的标准。特别是对于数据存储安全和网络通信安全的章节，它不仅指出了问题，还给出了清晰的、可落地的整改建议，例如如何在Kotlin协程中安全地处理敏感数据流，或者如何构建更健壮的证书锁定机制以应对中间人攻击。我发现，这本书的叙事节奏非常适合非纯技术背景的管理人员快速理解安全领域的最新挑战，它用严谨的技术语言包装了清晰的风险管理逻辑。这极大地帮助我与底层安全工程师进行高效沟通，确保我们的安全策略不仅技术上可行，而且在业务层面具有前瞻性。

评分☆☆☆☆☆

这部关于移动应用安全的新作，简直是为我这种常年与系统底层打交道的工程师量身定做的案头书。初翻目录，我就被其中对Android安全机制的深度剖析所吸引，特别是对Binder IPC机制、内存管理漏洞挖掘的章节，写得极为透彻。作者并没有停留在泛泛而谈的理论层面，而是大量引用了实际案例和PoC代码，这对于实战派读者来说价值连城。例如，书中关于沙箱逃逸技术栈的梳理，清晰地展示了从Linux内核层到上层应用框架中各个薄弱环节的利用路径，逻辑严密，层层递进。我特别欣赏它在描述攻击面时，总是能结合最新的Android版本特性进行分析，这保证了内容的时效性和前沿性。读到深入分析应用层权限提升漏洞时，我甚至能感受到作者在复现这些漏洞时付出的心血，他对细节的把握，远超一般安全书籍的平均水平。这本书无疑为我巩固和拓展移动安全知识体系打下了坚实的基础，尤其在处理复杂的权限绕过场景时，提供了宝贵的思路框架。

评分☆☆☆☆☆