iOS 应用安全权威指南

去年和 Swift.GG 的小伙伴们一起翻译了一本书《iOS 应用安全权威指南》,这也是我出版的第一本书。全书我负责的内容稍微多一些,其实赶去年夏天就完工交差了,但由于作者更新的缘故,出版社一直拖到年底才印出来。不过好事多磨,书的内容还是非常不错的,目前已经在各大电商上架了,先期上架的一小波已经卖光了,和出版社联系了下,预计 13 号左右会补货全面铺开。经常看我 Blog 的同学,如果对我的文笔满意,可以去买一本学习学习,谢谢大家。

豆瓣地址
京东购买链接
亚马逊购买链接
当当购买链接
China-Pub 购买链接

目 录

第一部分:iOS 基础,你将深入了解 iOS 的背景,熟悉它的安全历史及其应用程序的基本结构

  • 章节 1:iOS 的安全模型 简要分析 iOS 的安全模型,介绍该平台的基础防范措施,展示它能做什么、不能做什么。
  • 章节 2:Objective-C 简明教程 解释了 Objective-C 与其他编程语言的不同之处,简要介绍了一些专业术语和设计模式。对于经验丰富的 Objective-C 程序员来说,这可能并不算什么新的内容,但是对于初学者和初次涉猎 iOS 的开发者来说很有价值。
  • 章节 3:iOS 应用剖析 概述了 iOS 应用程序的结构和打包方式,研究了本地的存储机制以及泄漏敏感信息的方式。

第二部分:安全性测试,你将学习如何在开发或渗透测试中建立安全的测试环境,我也会分享一些配置 Xcode 的小技巧,从而最大化地利用现有的安全机制。

  • 章节 4:构建测试平台 工欲善其事必先利其器,本章将介绍用到的所有工具软件,并学习如何配置这些软件,让它们帮助我们来检查和测试 iOS 应用。具体来说,这章会介绍模拟器、配置代理、绕过 TLS 验证以及分析应用的特征行为。
  • 章节 5:使用 lldb 和其他工具进行调试 你可以使用 lldb 和 Xcode 内建的工具来更加深入地监控应用程序的行为,这些工具将帮助你分析代码中的复杂问题,还能帮你实现错误注入这样的功能。
  • 章节 6:黑盒测试 深入研究一些工具,学习在没有源代码的情况下对应用程序进行分析。这涉及到基本的逆向工程、二进制修改、拷贝程序以及使用 LLDB 的远程实例在设备上进行调试。

第三部分:Cocoa API 的安全怪癖,这部分会介绍 Cocoa Touch API 中常见的安全隐患

  • 章节 7:iOS 网络 讨论了网络和安全传输协议(TLS)在 iOS 中的工作原理,包括信息认证、证书锁定和 TLS 连接中的错误处理。
  • 章节 8:进程间通信 介绍进程间的通信机制,包括 URL scheme 和最新的通用链接机制。
  • 章节 9:适用于 iOS 的 Web 应用 涉及到 Web 应用与 iOS 原生应用程序的集成,你可以直接使用 web 视图或 JavaScript 和 Cocoa 的桥接框架 Cordova。
  • 章节 10:数据泄露 讨论了敏感数据泄露的多种渠道,也许无意中你的重要数据就会泄漏到本地存储、其他应用或是传播到网络中。
  • 章节 11:C 语言的遗留问题 展示 C 语言在 iOS 应用程序中所遗留的漏洞:栈和堆的内存损坏、格式化字符串漏洞、内存释放后又使用以及一些 Objective-C 变种的经典漏洞。
  • 章节 12:注入攻击 涉及的攻击主要有 SQL 注入,跨站点脚本,XML 注入,以及谓词注入,它们都可以用来攻击 iOS 应用程序。

最后的第四部分:保证数据安全介绍了数据的隐私和加密问题。

  • 章节 13:加密与认证 我们将在本章介绍加密的最佳实践,包括如何正确地使用 Keychain、数据保护 API 以及CommonCrypto 框架提供的其他密码学原语。
  • 章节 14:设备的隐私问题 在本书的最后一章会讨论用户隐私,收集应用不需要的数据对于用户和开发者来说意味着什么。

-EOF-

chengway

认清生活真相之后依然热爱它!

Subscribe to Talk is cheap, Show me the world!

Get the latest posts delivered right to your inbox.

or subscribe via RSS with Feedly!