关于移动设备应用的灰盒测试
所谓移动设备应用的灰盒测试是指，将传统的源代码检查(白盒测试)与前期测试(黑盒测试)结合起来的一种技术。测试人员必须检查应用程序的代码库，审查关键功能代码，审查常见的错误编码或非法编码方法。此外，测试人员还可以执行黑盒测试来审查应用，并根据所确认的漏洞定位找到代码库中的目标代码。
为什么要执行移动应用的灰盒测试与评估呢?答案很简单：找到高风险代码;确认漏洞的根本原因。
灰盒测试应当遵循如下三大步骤：
一 威胁建模
威胁建模可以使测试团队首先确认有可能对移动应用产生最大影响的威胁。测试人员在这个阶段的主要目的是区分特定应用组件或代码的优先顺序。测试团队通过理解应用程序架构的文档资料，应当逐渐熟知移动应用的基本架构和使用情况。
收集信息
通过与移动应用的开发团队协作，测试团队应当获得有助于帮助其理解移动应用的设计和功能的文档资料。这些文档资料中所描述的细节，可以为威胁建模过程中的所有步骤提供基础。
执行侦察和应用映射
理解移动应用如何实现其功能对于创建移动应用模型至关重要。在此阶段，测试团队应当人工检查移动应用的实例。然后，团队应当检查移动应用的匿名部分和认证部分，同时关注处理敏感数据和功能的部分。在此阶段，要提供架构、配置、过程、用户、技术等各方面的证明文件，以利于下一阶 ……此处隐藏1802个字……/p>
利用移动应用的独有功能
灰盒测试方法的主要好处是能够最大限度地利用漏洞。在此阶段中，测试者要尝试利用在移动应用的实例中表现不明显的认证漏洞和授权漏洞。这些漏洞可能会导致对功能或数据的非法访问，并给企业带来巨大风险。测试者还要利用业务逻辑(用于控制用户如何在移动应用中执行操作)中的缺陷。这些缺陷一般被用于欺诈移动应用的用户或公司。
将漏洞利用与源代码联系起来
在测试者证明了可利用的漏洞后，就要将可利用的漏洞与相关的特定代码部分联系起来。这可以使开发人员快速地理解问题，并可以评估进行漏洞修复需要花费的工作量。
分析风险
测试者要评估可利用的漏洞，并根据每个漏洞给公司带来的风险，对漏洞进行评级。对于漏洞，测试者还要评估在漏洞被利用后，它可能对公司造成的影响。如果测试者能够利用多个漏洞并带来更大的影响，那么这种分析就具有多重意义。
提供具体的技术建议
在评估了每个可利用漏洞的风险后，测试者要给出移动应用架构和代码编写的具体建议，如果可能最好包括源代码。然后，开发者就可以利用这些建议来减轻或修复漏洞，从而减少应用风险。测试者的建议还可以提供安全的编码指南，用以解决或修复移动应用的漏洞。
在这里提出几条移动安全的建议，供开发者和测试者参考：把移动安全理念纳入到开发项目中;构建并实施一种可以监管移动应用的开发并确保可理解性的策略;培训移动应用的开发人员，帮助其实施安全的编码;测试是否可以限制传输到移动设备的敏感数据;评估针对Web应用和基础架构的威胁。
