❶ android 上的漏洞對普通用戶有何影響，如何防範
首先，他們給這個漏洞取名叫寄生獸實在是……簡單來說這其實是一個靜態代碼注入的漏洞，關鍵點在於安卓系統源碼中對odex緩存文件的校驗薄弱，可被繞過，從而實現惡意代碼注入。那麼這個漏洞的首要觸發條件就是攻擊者要能覆蓋目標app的在文件系統中的odex，而每個app的odex都是在其私有目錄裡面，受沙盒機制保護。攻擊者要利用這個漏洞就先得突破沙盒機制，而如果攻擊者都已經有這樣的許可權了，其實能做的事情非常多，這個漏洞只是其中一種。
360列出了4種可能的攻擊場景來突破沙盒機制。首先是三星自帶的輸入法的遠程命令執行漏洞，這個漏洞要利用得劫持網路做中間人攻擊，其實是比較局限的，不談需要在應用插件更新時劫持網路，首先你得有一台三星……然後360列出了真實環境中的3種場景。第一種是解壓目錄遍歷，這個其實是app開發者沒有安全調用安卓原生api導致的漏洞，可讓攻擊者在解壓時以目標app的許可權覆蓋到odex。第二種是備份的漏洞，這種漏洞也是由於安卓開發者沒有安全配置清單文件導致的，可利用修改備份然後恢復的方式覆蓋odex。以上兩種方法都不需要root許可權，這明明就是開發者的鍋！就這兩種場景而言，這個漏洞是有一定影響面的，跟webview那個由來已久的遠程代碼執行漏洞一樣，是安卓本身安全缺陷導致的，但開發者自己應該作出應對。以後大家做安全審計時可以注意一下上面兩種場景現在有新的注入手段了。第三種攻擊場景是危言聳聽，基本可以無視，要求攻擊者具有root許可權，你都有root許可權了為什麼不考慮動態注入呢，目前很多app的動態注入防護是很弱的，實際上大多數根本沒有。
最後表達一下我一直以來的觀點，不要動不動就把鍋推到用戶身上，root手機帶來的安全隱患真的沒有想像的那麼大。為用戶減少安全風險是每個敬業的安全工程師的職責，如果你所謂的安全是放棄功能，那大家還不如換回小靈通，這完全就是沒有責任感的表現。
❷ 怎麼分析android代碼是否存在內存泄露
1、首先確定是否有內存泄露及哪個程序造成。
1.1、內存泄露已彈出out of memory對話框的情況。
這種情況很簡單，直接看對話框就知道是哪個應用的問題了。然後再分析該應用是否是因為內存泄露造成的
out of memory對話框。
》中介紹的各種方法進行分析，確定是否有內存泄露以及是哪個進程造成的內存泄露。
2、生成hprof文件，用MAT進行分析。
生
成hprof文件可以在DDMS選中進程點擊窗口左上角的mp hprof
file按鈕來直接生成，也可以通過在程序加代碼中來生成代碼2：voidgenerateHprof(){String
packageName=getApplicationInfo().packageName;
StringhpFilePath=/data/data/+packageName+/input.hprof;try{//Debug.mpHprofData(/sdcard/input.hprof);Debug.
mpHprofData
(hpFilePath);}catch(IOException e) {//TODOAuto-generated catch block
e.printStackTrace();}}建議使用代碼生成hprof，然後使用《
Android內存泄露利器（hprof篇）》中的工具自動提取多個hprof文件，然後用MAT進行比較分析。在MAT導入.hprof文件以後，
MAT會自動解析並生成報告，點擊
Dominator Tree
，並按Package分組，選擇自己所定義的Package類,比較各個類在不同時期的RetainedHeap
,找出可疑類，然後選擇該類，點右鍵，選中
show retained Set項,參看Retained Heap
的詳細信息，進一步找出嫌疑項。
3、在代碼中查找內存泄露。
根據在MAT找到的內存泄露信息，參照《
Android內存泄漏簡介
》進一步在內存中查找內存泄露的原因並解決。
另外如果代碼很簡單，可以直接參照《
Android內存泄漏簡介
》在內存中查找內存泄露的原因並解決。
❸ android系統源代碼情景分析 需要具備什麼基礎知識
Android系統的源代碼非常龐大和復雜，我們不能貿然進入，否則很容易在裡面迷入方向，進而失去研究它的信心。我們應該在分析它的源代碼之前學習好一些理論知識，下面就介紹一些與Android系統相關的資料。
我們知道，Android系統是基於Linux內核來開發的，在分析它在運行時庫層的源代碼時，我們會經常碰到諸如管道（pipe）、套接字（socket）和虛擬文件系統（VFS）等知識。此外，Android系統還在Linux內核中增加了一些專用的驅動程序，例如用於日誌系統的Logger驅動程序、用於進程間通信的Binder驅動程序和用於輔助內存管理的匿名共享內存Ashmem驅動程序。在分析這些Android專用驅動程序的時候，也會碰到Linux內核中與進程、內存管理相關的數據結構。因此，我們有必要掌握一些Linux內核的基礎知識，下面就介紹四本典經的Linux內核書籍。
1.Linux Kernel Development.
這本書的作者是Robert Love，目前最新的版本是第3版。這本書對Linux內核的設計和實現提供了一個總覽視圖，從概念上對Linux內核的各個子系統的設計目標和實現思路進行了清晰的描述，非常適合初學者閱讀。如果從軟體工程的角度來看，這本書就相當於是Linux內核的概要設計文檔。
2.Understanding the Linux Kernel.
這本書的作者是Daniel P. Bovet和Marco Cesati，目前最新的版本是第3版。這本書對Linux內核的實現提供了更多的細節，詳細地描述了內核開發中用到的重要數據結構、演算法以及編程技巧，非常適合中高級讀者閱讀。如果從軟體工程的角度來看，這本書就相當於是Linux內核的詳細設計文檔。
3.Linux Device Drivers.
這本書的作者是Jonathan Corbet, Alessandro Rubini和Greg Kroah-Hartman，目前最新的版本是第3版。這本書更加註重實際操作，它詳細地講解了Linux內核驅動程序的實現原理和實現方法，讀者可以跟著它來實際地編寫出自己的Linux驅動程序。閱讀了這本書之後，對我們後續去分析Android的專用驅動程序是有非常大的幫助的。
4.Linux內核源代碼情景分析
這本書的作者是毛德操和胡希明，是中國人自己編寫的一本經典的Linux內核書籍。這本書最大的特點是從使用情景出發，對Linux內核的源代碼作了詳細的分析，幫助讀者把枯燥無味的源代碼給理順了。
掌握了Linux內核的基礎知識之後，還不宜馬上就去分析Android系統的源代碼，因為這樣做是漫無目的的，我們應該帶著問題或者目標去分析Android系統的源代碼。要把問題或者目標挖掘出來，最好的方法就莫過於是在Android平台上編寫自己的應用程序了。通過編寫應用程序，我們可以知道Android平台都提供了哪些功能，進而我們就會想去了解這些功能是怎麼實現的，這樣就可以達到帶著問題或者目標去分析Android系統的源代碼了。這里介紹兩個Android應用程序開發教程的書籍：
1.Professional Android 2 Application Development.
2.Google Android SDK開發範例大全.
這兩本書都使用了大量的例子來說明如何使用Android SDK來開發Android應用程序。讀者可以根據實際情況來練習一下，主要掌握Android應用程序四大組件（Activity、Service、Broadcast Receiver和Content Provider）的用法，因為Android系統的整個架構和實現就是為了向開發者提供這四大組件來實現各種各樣的應用程序的。在學習的過程中，如果遇到其它問題，還可以參考官方文檔
❹ Android APP漏洞，求APK漏洞檢測工具
由於Android系統的開源性，各類Android App經常被爆出漏洞，以及被反編譯、破解。有的Android開發者只是對App進行混淆代碼或是防二次打包，對於源碼的保護並不到位。同時也不清楚其中所隱藏的漏洞，這里給大家介紹一個Android App漏洞測試工具。同時，經常需要用到的一個性能測試工具，在Android應用開發或測試過程中，對應用程序進行性能壓力測試，或者GUI功能測試，以找出程序中隱藏的問題。
1. 文件檢查
檢查dex、res文件是否存在源代碼、資源文件被竊取、替換等安全問題。
2. 漏洞掃描
掃描簽名、XML文件是否存在安全漏洞、存在被注入、嵌入代碼等風險。
3. 後門檢測
檢測App是否存在被二次打包，然後植入後門程序或第三方代碼等風險。
4. 一鍵生成
一鍵生成App關於源碼、文件、許可權、關鍵字等方面的安全風險分析報告。
自動化App安全檢測平台，只需一鍵上傳APK就可完成安全漏洞檢測，檢測結果清晰、詳細、全面，並可一鍵生成報告，極大的提高了開發者的開發效率，有效幫助開發者了解App安全狀況，提高App安全性。
愛加密的漏洞分析功能http://safe.ijiami.cn/集成了目前黑客最常用的各種破解方法與思路，模擬黑客攻擊行為進行分析。開發者只需上傳自己的應用，就可以自動分析出應用存在哪些可被利用的風險漏洞，清晰直觀，並且全網首家支持一鍵下載完整詳細的PDF格式分析報告，方便技術及公司管理人員對應用漏洞相關結果進行傳遞與研究，有針對性的進行安全防護，避免破解損失。