老王的智能终端安全专栏

原创 android 企业级安全

新名词,BYOD、MDM、MAM。。。读者根据个人兴趣自己挖掘这些信息。本文谈论的就是随着智能终端的日益普及，很多智能终端承载了企业应用，那么如何使一部终端更好的承载企业应用和个人信息呢？三星最近推出的S4给大家一些启发，下面就是三星KNox解决方案的概要！Samsung KNOX™ is the comprehensive enterprise mobile solution for

转载 探索 FileSystem API

http://www.html5rocks.com/zh/tutorials/file/filesystem/我常常想，如果网络应用能够读取和写入文件与目录，将会非常方便。从离线转移到在线后，应用变得更加复杂，而文件系统方面的 API 的缺乏也一直阻碍着网络前进。存储二进制数据或与其进行交互不应局限于桌面。令人欣慰的是，由于FileSystem API 的出现，这一现状终于得到了改变。

转载 CORS

http://www.html5rocks.com/en/tutorials/cors/Cross-Origin Resource Sharing (CORS) is a W3C spec that allows cross-domain communication from the browser. By building on top of the XMLHttpRequest o

原创 手机支付安全解决方案演进

please waitting!

翻译 Android Application Security Essentials(I)

.....................

转载 js加密大全(防止客户端查看自己的js文件)

http://blog.youkuaiyun.com/aosnowasp/article/details/4305431 做网站最让人烦恼的是自己辛辛苦苦写出来的客户端IE运行的JAVASCRIPT代码常常被别人轻易的拷贝，实在让自己的心里有点不是滋味，要知道自己写点东西也挺累的.但我们也应该清楚地认识到因为JAVASCRIPT代码是在IE中解释执行，要想绝对的保密是不可能的，我们要做的就是尽

转载 移动开发中HTML5能否替代本地程序？

来源：http://www.html5china.com/course/20120222_3480.html随着移动设备越来越先进，对HTML5的支持度越来越高，我们进军移动领域的时候，都会遇到一个问题，是选择HTML5和还是Native(用原生代码编写的本地程序)?HTML5的前景无疑是诱人的，一句…随着移动设备越来越先进，对HTML5的支持度越来越高，我们进军移动领域的时候，都会遇

原创 传统安全企业如360如何做无线安全（III）

3、For Business

原创 传统安全企业如360如何做无线安全（II）

再谈企业市场。

翻译 A New Vulnerability in the Android Framework: Fragment Injection

http://securityintelligence.com/new-vulnerability-android-framework-fragment-injection/

转载 Android中的so注入(inject)和挂钩(hook) - For both x86 and arm

http://blog.youkuaiyun.com/jinzhuojun/article/details/9900105对于Android for arm上的so注入（inject）和挂钩（hook），网上已有牛人给出了代码-libinject（http://bbs.pediy.com/showthread.php?t=141355）。由于实现中的ptrace函数是依赖于平台的，所以不经改动只能用于ar

转载 Android下的JDB调试

http://blog.youkuaiyun.com/jinzhuojun/article/details/7399249第一步在$HOME/.jdbrc里设断点，如：stop in com.almalence.hdr.MainScreen.FindExpoParameters 第二步让程序在启动时停止等待jdb：Dev Tools -Development Settings -> 选中要

原创 安卓游戏盗取用户 WhatsApp 聊天记录 带给我们的思考！

近日，一款盗取用户 WhatsApp 聊天记录的 Android 游戏被谷歌从其 Google Play 商店移除，这款游戏甚至还将窃取的这些用户隐私上传到一个网站上。可以看到这几行代码的作用：1）读取存储在SD卡上的文件；2）读取用户手机号3）存储在云端，对外销售。客户可以按照手机号检索需要的内容。 其实很早就有人爆了**的聊天记录第三方软件可以读取。但**给出的答案

原创 android安全开发者必看文章

无意中看到一篇CompTIA Mobile App Security+ Certification ExamThis exam will certify that the successful candidate has the knowledge and skills requiredto securely create a native Android mobile applicati

原创 手机支付安全能依赖终端自身的硬件吗？

长期以来，支付类的安全对硬件有一些依赖，比如广泛使用的U盾。但是这些外设导致的后果是用户体验差。那么手机自身能不能继续挖潜，尤其是三中全会后，终端自身能否旧貌换新颜，发挥余热呢？今天讨论的就是这个问题。先从SE说起。随着NFC的普及，移动支付越来越近了，而对于移动支付来讲，最重要的已经不是如何进行近场通信了，而是如何将我们的安全要素放到可信的地方，即SE里面。目前移动终端的SE有三种形式，

原创 支付宝手势密码安全吗？

看微博一条新闻：IOS版支付宝手势密码爆漏洞，然后一堆人利用这个漏洞炒作，攻击消费者！本着为消费者考虑的角度，本文分析一下这个问题。大家第一次使用支付宝时，登陆完毕后会提示用户设置一个手势密码！

原创 android绕过设备锁（device lock）

先准备素材，然后展开编写。听说这几天爆了一个device lock的漏洞。http://we.droidiser.com/viewtopic.php?f=21&t=29http://en.miui.com/thread-5684-1-1.htmlhttp://oscarmini.com/2013/09/locked-out-how-to-bypass-pattern-lock-on-a

原创 伪基站和空中信息拦截

1、GSM篇在GSM网络中，SIM卡和网络侧配合完成用户鉴权，以此防止未经授权的接入，保护运营商和合法用户双方的利益。GSM鉴权过程主要涉及AUC、HLR、MSC/VLR、MS和SIM卡。每个用户在GSM网中注册登记时，被分配给一个客户电话号码（MSISDN，就是通常的手机号）和客户身份识别码（IMSI）。IMSI通过SIM写卡机写入客户的SIM卡中，同时在写卡机中又产生了一个对应此IMS

原创 手机支付宝面临的风险和应对（XI）---手机支付宝已有安全机制（未完待续）

。。

原创 安全企业如360如何做无线安全（I）

。。。

原创 手机支付宝面临的风险和应对（VI）---智能终端安全生态体系（未完待续）

。。。

原创 手机支付宝面临的风险和应对（X）---支付安全如何组建团队

..

原创 手机支付宝面临的风险和应对（IX）---手机支付宝安全路在何方（未完待续）

...

原创 手机支付宝面临的风险和应对（VIII）---手机支付宝安全渗透测试（未完待续）

....

原创 手机支付宝面临的风险和应对（V）---手机支付宝安全设计方法论（未完待续）

....

原创 手机支付宝面临的风险和应对（IV）---现有的PC防范手段安全吗？

.....

原创 手机支付宝面临的风险和应对（III）---手机支付宝能照搬PC的思路吗？

...移动互联网很多商业模式就是简单复制PC上的模式，有些成功，有些失败。比如微信对QQ的颠覆。我们先看看复制靠谱吗？1、u盾能复制吗？

原创 手机支付宝面临的风险和应对（II）---支付安全走过的心路历程

....

原创 手机支付宝面临的风险和应对（I）---背景

一个比较热的话题，需要较大的篇幅描述！ “移动互联网时代，对第三方支付来说是一个新时代，即O2O(线上线下)时代。”PC互联网时代，阿里集团旗下的支付宝凭借线上(Online)实力在第三方支付领域拥有了垄断性优势。即使财付通背靠腾讯QQ，也不过获得20%的市场份额。移动互联网时代，随着图像识别、位置服务等技术的发展，线上与线下正在融合。微信让市场看到了腾讯在第三方支付领域逆转的可能，开始发

原创 近期发三篇文献

近期打算撰写三篇文献，分别是：1、android安全趋势和走向。2、传统安全企业如360如何在Android上寻找机会和应对挑战。3、手机支付宝面临的风险和应对。

原创 android 4.4安全更新

1、恶意订购ios根本就没有第三方应用能直接发短信和拦截短信。android由于其开放性。。一直不忍心阉割！4.4先来一把手术刀。以后逐渐阉割。4.4版本，只有被用户设置为缺省的短消息程序才能直接发短信、拦截短信。 让用户把第三方程序设置为缺省的短消息程序既需要勇气、也考验智商。不能直接发短信意味着恶意订购如何完成啊！The Telephony content provid

原创 win8安全（I）

Win8,您用了吗？ windows的secure boot的历史已久了，可这种静态的认证，如果中了木马，可能就被绕过。咋整呢？那就是远程证明！

转载 android的升级问题如何解决呢？

为什么最近Android都没有大的版本更新？Ron Amadeo对此进行了解答。Android 4.3 已经推送到Nexus设备上一个多月了，但是就像以前的 Android更新一样，新版本要推广到大众还需要很久很久。现在只有6%多一点的Android使用者正在使用最新版。如果你有关注市面上各种不同的Android版本，你可能会注意到似乎没人在乎这个。Android 4.3最重要的新功能就只

原创 android 安全未来怎么走

转载 IOS PK android

这两个系统安全性比较到底如何？看下图！不过这个图有些糙！！！

原创 ios安全研究方向

Module 1: Introduction to iOS SecurityiOS Platform BasicsiOS Application Development and TestingObjective C and iOS FrameworksXcode, iPhone and iPad simulatorsThe ARM processorMVC basics and a

原创 android 4.3安全更新

Enterprise and Security看完了泪流满面啊。。。OS就是黑洞，啥都做了！Wi-Fi configuration for WPA2-Enterprise networksApps can now configure the Wi-Fi credentials they need for connections toWPA2 enterprise access

原创 黑客利用安卓主密钥漏洞在华传播病毒

引赛门铁壳的消息：赛门铁克表示其研究人员已监控到中国已出现两个应用程序被黑客利用溢出感染。谷歌已采取行动来解决问题，并在两周前给手机制造商发布补丁，但是补丁尚未普及到各手机用户手中。与此同时，谷歌还在其游戏市场扫描该溢出。不过谷歌无法保证消费者从其他网站下载软件的安全性。安全研究公司BlueBox 在今年 7月3日首先公布发现谷歌主密钥漏洞。据悉，Android操作系统可以合法扫描包含

翻译 强大的dex反编译器

APK反编译、重打包。这都是老话题了，现在也有不少工具来实现apk反编译，比如apktool-gui。Virtuous Ten Studio等。尤其后者还是很强大的。大家可以自己去体验。今天给大家介绍的这是一个商业产品，也即不是免费的，不过自然有其特点。那就是来自于http://www.android-decompiler.com/fa的JEBJEB是一个功能强大的为安全专业人士设计的

转载 这是真的吗？

安卓被曝植入棱镜】据外媒披露美国国家安全局（NSA）在2011年编写了一段代码并交给谷歌，植入其移动操作系统——安卓。而这段代码正是“棱镜”监控计划的一部分。针对安全隐患有官方的白皮书，鼓励中国自己的高科技企业（包括阿里巴巴、华为等）发展自有的操作系统，或至少保持安卓之外的独立性。但发展自有系统谈何容易？这需要持续投入啊！国内那个公司可以这么做！