❶ android 上的漏洞对普通用户有何影响，如何防范
首先，他们给这个漏洞取名叫寄生兽实在是……简单来说这其实是一个静态代码注入的漏洞，关键点在于安卓系统源码中对odex缓存文件的校验薄弱，可被绕过，从而实现恶意代码注入。那么这个漏洞的首要触发条件就是攻击者要能覆盖目标app的在文件系统中的odex，而每个app的odex都是在其私有目录里面，受沙盒机制保护。攻击者要利用这个漏洞就先得突破沙盒机制，而如果攻击者都已经有这样的权限了，其实能做的事情非常多，这个漏洞只是其中一种。
360列出了4种可能的攻击场景来突破沙盒机制。首先是三星自带的输入法的远程命令执行漏洞，这个漏洞要利用得劫持网络做中间人攻击，其实是比较局限的，不谈需要在应用插件更新时劫持网络，首先你得有一台三星……然后360列出了真实环境中的3种场景。第一种是解压目录遍历，这个其实是app开发者没有安全调用安卓原生api导致的漏洞，可让攻击者在解压时以目标app的权限覆盖到odex。第二种是备份的漏洞，这种漏洞也是由于安卓开发者没有安全配置清单文件导致的，可利用修改备份然后恢复的方式覆盖odex。以上两种方法都不需要root权限，这明明就是开发者的锅！就这两种场景而言，这个漏洞是有一定影响面的，跟webview那个由来已久的远程代码执行漏洞一样，是安卓本身安全缺陷导致的，但开发者自己应该作出应对。以后大家做安全审计时可以注意一下上面两种场景现在有新的注入手段了。第三种攻击场景是危言耸听，基本可以无视，要求攻击者具有root权限，你都有root权限了为什么不考虑动态注入呢，目前很多app的动态注入防护是很弱的，实际上大多数根本没有。
最后表达一下我一直以来的观点，不要动不动就把锅推到用户身上，root手机带来的安全隐患真的没有想象的那么大。为用户减少安全风险是每个敬业的安全工程师的职责，如果你所谓的安全是放弃功能，那大家还不如换回小灵通，这完全就是没有责任感的表现。
❷ 怎么分析android代码是否存在内存泄露
1、首先确定是否有内存泄露及哪个程序造成。
1.1、内存泄露已弹出out of memory对话框的情况。
这种情况很简单，直接看对话框就知道是哪个应用的问题了。然后再分析该应用是否是因为内存泄露造成的
out of memory对话框。
》中介绍的各种方法进行分析，确定是否有内存泄露以及是哪个进程造成的内存泄露。
2、生成hprof文件，用MAT进行分析。
生
成hprof文件可以在DDMS选中进程点击窗口左上角的mp hprof
file按钮来直接生成，也可以通过在程序加代码中来生成代码2：voidgenerateHprof(){String
packageName=getApplicationInfo().packageName;
StringhpFilePath=/data/data/+packageName+/input.hprof;try{//Debug.mpHprofData(/sdcard/input.hprof);Debug.
mpHprofData
(hpFilePath);}catch(IOException e) {//TODOAuto-generated catch block
e.printStackTrace();}}建议使用代码生成hprof，然后使用《
Android内存泄露利器（hprof篇）》中的工具自动提取多个hprof文件，然后用MAT进行比较分析。在MAT导入.hprof文件以后，
MAT会自动解析并生成报告，点击
Dominator Tree
，并按Package分组，选择自己所定义的Package类,比较各个类在不同时期的RetainedHeap
,找出可疑类，然后选择该类，点右键，选中
show retained Set项,参看Retained Heap
的详细信息，进一步找出嫌疑项。
3、在代码中查找内存泄露。
根据在MAT找到的内存泄露信息，参照《
Android内存泄漏简介
》进一步在内存中查找内存泄露的原因并解决。
另外如果代码很简单，可以直接参照《
Android内存泄漏简介
》在内存中查找内存泄露的原因并解决。
❸ android系统源代码情景分析 需要具备什么基础知识
Android系统的源代码非常庞大和复杂，我们不能贸然进入，否则很容易在里面迷入方向，进而失去研究它的信心。我们应该在分析它的源代码之前学习好一些理论知识，下面就介绍一些与Android系统相关的资料。
我们知道，Android系统是基于Linux内核来开发的，在分析它在运行时库层的源代码时，我们会经常碰到诸如管道（pipe）、套接字（socket）和虚拟文件系统（VFS）等知识。此外，Android系统还在Linux内核中增加了一些专用的驱动程序，例如用于日志系统的Logger驱动程序、用于进程间通信的Binder驱动程序和用于辅助内存管理的匿名共享内存Ashmem驱动程序。在分析这些Android专用驱动程序的时候，也会碰到Linux内核中与进程、内存管理相关的数据结构。因此，我们有必要掌握一些Linux内核的基础知识，下面就介绍四本典经的Linux内核书籍。
1.Linux Kernel Development.
这本书的作者是Robert Love，目前最新的版本是第3版。这本书对Linux内核的设计和实现提供了一个总览视图，从概念上对Linux内核的各个子系统的设计目标和实现思路进行了清晰的描述，非常适合初学者阅读。如果从软件工程的角度来看，这本书就相当于是Linux内核的概要设计文档。
2.Understanding the Linux Kernel.
这本书的作者是Daniel P. Bovet和Marco Cesati，目前最新的版本是第3版。这本书对Linux内核的实现提供了更多的细节，详细地描述了内核开发中用到的重要数据结构、算法以及编程技巧，非常适合中高级读者阅读。如果从软件工程的角度来看，这本书就相当于是Linux内核的详细设计文档。
3.Linux Device Drivers.
这本书的作者是Jonathan Corbet, Alessandro Rubini和Greg Kroah-Hartman，目前最新的版本是第3版。这本书更加注重实际操作，它详细地讲解了Linux内核驱动程序的实现原理和实现方法，读者可以跟着它来实际地编写出自己的Linux驱动程序。阅读了这本书之后，对我们后续去分析Android的专用驱动程序是有非常大的帮助的。
4.Linux内核源代码情景分析
这本书的作者是毛德操和胡希明，是中国人自己编写的一本经典的Linux内核书籍。这本书最大的特点是从使用情景出发，对Linux内核的源代码作了详细的分析，帮助读者把枯燥无味的源代码给理顺了。
掌握了Linux内核的基础知识之后，还不宜马上就去分析Android系统的源代码，因为这样做是漫无目的的，我们应该带着问题或者目标去分析Android系统的源代码。要把问题或者目标挖掘出来，最好的方法就莫过于是在Android平台上编写自己的应用程序了。通过编写应用程序，我们可以知道Android平台都提供了哪些功能，进而我们就会想去了解这些功能是怎么实现的，这样就可以达到带着问题或者目标去分析Android系统的源代码了。这里介绍两个Android应用程序开发教程的书籍：
1.Professional Android 2 Application Development.
2.Google Android SDK开发范例大全.
这两本书都使用了大量的例子来说明如何使用Android SDK来开发Android应用程序。读者可以根据实际情况来练习一下，主要掌握Android应用程序四大组件（Activity、Service、Broadcast Receiver和Content Provider）的用法，因为Android系统的整个架构和实现就是为了向开发者提供这四大组件来实现各种各样的应用程序的。在学习的过程中，如果遇到其它问题，还可以参考官方文档
❹ Android APP漏洞，求APK漏洞检测工具
由于Android系统的开源性，各类Android App经常被爆出漏洞，以及被反编译、破解。有的Android开发者只是对App进行混淆代码或是防二次打包，对于源码的保护并不到位。同时也不清楚其中所隐藏的漏洞，这里给大家介绍一个Android App漏洞测试工具。同时，经常需要用到的一个性能测试工具，在Android应用开发或测试过程中，对应用程序进行性能压力测试，或者GUI功能测试，以找出程序中隐藏的问题。
1. 文件检查
检查dex、res文件是否存在源代码、资源文件被窃取、替换等安全问题。
2. 漏洞扫描
扫描签名、XML文件是否存在安全漏洞、存在被注入、嵌入代码等风险。
3. 后门检测
检测App是否存在被二次打包，然后植入后门程序或第三方代码等风险。
4. 一键生成
一键生成App关于源码、文件、权限、关键字等方面的安全风险分析报告。
自动化App安全检测平台，只需一键上传APK就可完成安全漏洞检测，检测结果清晰、详细、全面，并可一键生成报告，极大的提高了开发者的开发效率，有效帮助开发者了解App安全状况，提高App安全性。
爱加密的漏洞分析功能http://safe.ijiami.cn/集成了目前黑客最常用的各种破解方法与思路，模拟黑客攻击行为进行分析。开发者只需上传自己的应用，就可以自动分析出应用存在哪些可被利用的风险漏洞，清晰直观，并且全网首家支持一键下载完整详细的PDF格式分析报告，方便技术及公司管理人员对应用漏洞相关结果进行传递与研究，有针对性的进行安全防护，避免破解损失。