杨珉教授公开了几封与安卓安全团队之间的往来邮件，表示自漏洞提交到被谷歌修复以来，不知道收到了多少次Delay：
这是第四篇，我们这篇分享的是对之前分享的命令的总结。方便大家的直接的查阅。
android平台提供了Content Provider使一个应用程序的指定数据集提供给其他应用程序。这些数据可以存储在文件系统中、在一个SQLite数据库、或以任何其他合理的方式。其他应用可以通过ContentResolver类从该内容提供者中获取或存入数据。只有需要在多个应用程序间共享数据是才需要内容提供者。
安卓数据库编程 零、前言 一、在安卓系统上存储数据 二、使用 SQLite 数据库 三、SQLite 查询 四、使用内容供应器 五、查询联系人表 六、绑定到用户界面 七、安卓数据库的实践 八、探索外部数据库 九、收集和存储数据 十、把它们放在一起 安卓设计模式最佳实践 零、前言 一、设计模式 二、创建模式 三、材质模式 四、布局模式 五、结构模式 六、激活模式 七、组合模式 八、复合模式 九、观察模式 十、行为模式 十一、可穿戴模式 十二、社交模式 十三、发布模式 安卓高性能编程 零、前言 一、简介：
据外媒 BleepingComputer 美国时间12月9日报道，谷歌在 2017年12月发布的安卓安全公告中包含一个漏洞修复程序，该漏洞允许恶意攻击者绕过应用程序签名并将恶意代码注入安卓应用程序。 这个名为 Janus 的漏洞（CVE-2017-13156）由移动安全公司 GuardSquare 的研究团队发现，该漏洞存在与安卓操作系统用于读取应用程序签名的机制中，会允许恶意应用在不影响应用签名的情况下，向安卓应用的 APK 或 DEX 格式中添加代码。如果有人想用恶意指令打包成一款应用，安卓系统仍会将其
小米 岗位：安卓安全工程师 现场面二轮技术面 一面： 自我介绍（面试官看简历） 当我介绍到当过辩论队副队长时，面试官：你怎么是个副的！（囧） 答：我个人有为团队奉献的精神，但也不是特别想把控全局，也希望能够通过副队长锻炼自己（这是个坑，也是压力面的一种） 面试官：你们研一这么多课，哪里有时间做项目 答：没课就跑到实验室，周六周日也去 项目以及技术问题 Android HOOK框架 Binder机制介绍 ARMv7和ARMv8的不同 二面： 怎么区分一个手机有没有被root Inlinehook的原理 其余的
印度计算机应急响应小组（CERT-IN）在最近发布的一份公告中，就影响印度安卓用户的新安卓漏洞发出了重要警告。
3月23日，谷歌披露了一个影响使用高通芯片组的安卓终端0day漏洞，攻击者可以利用该漏洞定向发起攻击。目前，该漏洞已修复。
MWR实验室的研究人员发现一个0day漏洞，该漏洞存在于安卓系统中Google Admin应用程序处理一些URL的方式中，通过该漏洞攻击者可以绕过安卓沙箱机制。 漏洞原理 对于谷歌的安卓安全团队来说，这个月是一段充满忙碌的日子。 首先是上个月Stagefright漏洞的出现，而现在MWR实验室的研究人员又发布了与一个未打补丁的漏洞相关的信息，该漏洞允许攻击者绕过安卓沙箱。 该漏洞存在于安卓手机上的谷歌Admin应用程序处理一些URL的方式中。如果手机上的另一个应用程序向Admin应用程序发送一种特定的U
然而，研究人员发现，ARM 很容易受到内存损坏的影响，因为防范此类漏洞的功能很容易被绕过。
APP安全合规的监管机构：APP违法违规收集使用个人信息治理工作组(APP治理小组)、工业和信息化部信息通讯管理局(工信部)、国家移动互联网应用安全管理中心(病毒中心)、地方通信局、地方网安。
安卓设备小心：4.0-4.3版本都可以被RCSAndroid 搞定。 安卓平台上的远程控制木马RCSAndroid是目前曝光的安卓中最专业、最复杂的恶意程序之一。 自Hacking Team信息泄漏以来，安全领域每天都被一些漏洞、exp等等消息所覆盖，当然还有更多的信息尚待挖掘。现在，终于轮到安卓了，可惜是个非常不好的消息：一个新的远程访问木马（RAT）。 RCSAndroid有十种“超能力” 趋势科技研究人员发现的这种新木马叫做RCSAndroid，并称之为是迄今为止安卓中“最专业和最复杂”的恶意
有幸度过了2012年的世界末日，2013年的网络安全领域依旧波澜壮阔，除了“传统”的木马病毒，伪基站、GSM短信监听、路由器劫持等新兴威胁也开始显现。根据过去一年中国网络安全热点，我们盘点出2013年国内十大网络安全威胁，希望能够让更多的互联网用户认识并了解这些威胁，提高警惕，避免受到侵害。 一、伪基站诈骗短信，克隆银行电话 “伪基站”是一种新兴的诈骗工具，它将垃圾短信通过伪装以诱骗用户上当。伪基站短信可伪装成10086、银行甚至110电话，可放入车中携带随意移动，可在人群密集的街道和小区自动搜索附近手
在经过了将近24小时的辗转，小安怀着忐忑的心情终于到达Black Hat USA 2015 的会议所在地——拉斯维加斯。一下飞机便感觉到了黑帽大会的魅力，行李提取处，机场出口，无处不在地播放着Black Hat USA 2015会议的广告。 同事因为穿着去年BlackHat的外套而几次被同行搭讪，中国台湾地区来参加CTF挑战赛的217战队小伙伴们也在拉斯维加斯的欢迎广告牌下合影，吹响了参赛的号角。 拍下下图照片的时候刚得到消息，我国的蓝莲花战队乘坐的航班持续晚点将近一天时
MTE是ARM v8.5-A架构（及更高版本）新增的一项功能，旨在检测和防止内存损坏。系统采用低开销标签技术，为 16 字节内存块分配 4 位标签，确保指针中的标签与访问的内存区域相匹配，从而防止内存损坏攻击。
上一篇介绍了安卓安全测试框架--drozer环境搭建，这篇呢，我们开始用实际的例子去实战，有真实的实战才是我们掌握一个工具的最佳途径。这里呢，是我用的我学习用的apk，当然了，大家还可以在网上找，推荐大家用这个https://github.com/liwanlei/bilibili-android-client，一个不错的开源的apk。
随着app的质量要求不断的越来越高，跟随着我们的技术的不断进步，对于安全测试的需求也是逐渐增多，那么针对app，我们如何做安全测试呢，工欲善其事必先利其器。我们这节课看下安卓安全测试工具--drozer的环境搭建。入门第一步就是环境搭建。
谷歌 谷歌训练自动驾驶汽车适时按喇叭 谷歌称，它已经在训练自动驾驶汽车在适当的时候按下喇叭，提醒车身旁边心不在焉的行人或者汽车司机。 谷歌甚至让自动驾驶汽车学会根据不同情况按下不同频率和音量的喇叭。如
印尼不仅拥有发展电子商务的巨大潜力，据预测印尼电子商务市场规模在2020年达到1300亿美元，并且这一市场还在不断的扩大。雅加达和爪哇岛的其他大城市仍然是核心目标市场，像Tokopedia 和Berrybenka电商企业已经开始关注苏门答腊岛，加里曼丹和苏拉威西岛了。 过去几年中国电子商务企业开始在印尼开拓业务。 在2014年末，阿里巴巴全球速卖通和当地电子支付企业DOKU以及Pos合作开始进入印尼市场。 曾经有传言说京东已经以JD.co.id的网站形式用印尼语提供相关服务。像今日社会报道的一样，该域名看
安卓那边也不消停：一个新的高通芯片漏洞可能会影响全球 30% 的 Android 手机。
国家互联网应急中心之前发了一份资料，发现2013年，移动互联网恶意程序数量大幅增长，国家互联网应急中心通过自主监测和交换捕获的 移动互联网恶意程序样本达70.3万个，较2012年增长3.3倍，针对安卓平台恶意程序占99.5%。而另一方面发现，2013年我国境内感染木马僵尸 网络的主机为1135万个，首次出现下降，降幅达22.5%。根据专家的分析来说，一方面PC的安全治理比较有成效，另外新的问题出现了——移动互联网恶 意病毒涨了三倍，根据分析，原来黑客们将注意力转向更能获益的移动互联网领域。 其实，上次携
刚刚，路透社曝光称谷歌母公司Alphabet已按特朗普要求，停止与华为相关的业务和服务，涉及硬件、软件和技术服务方面，包括旗下智能手机操作系统：安卓。
wonderkun 撰写 无回复 一组很棒的渗透测试资源，包括工具、书籍、会议、杂志和其他的东西 目录： 在线资源 渗透测试资源 Shell 脚本资源 Linux 资源 Shellcode 开发 Social社工资源 开锁资源 工具 渗透测试系统版本 渗透测试基础工具 漏洞扫描器 网络工具 Hex编辑器 破解 Windows程序 DDoS 工具 社工工具 藏形工具 逆向工具 书籍 渗透测试书籍 黑客手册系列 网络分析书籍 逆向工程书籍 恶意程序分析书籍 Windows书籍 社工书籍 开锁书籍 漏洞库 安全
一、背景介绍 近日，Android平台被爆出“核弹级”漏洞Janus（CVE-2017-13156），该漏洞允许攻击者任意修改Android应用中的代码，而不会影响其签名。 众所周知，Android具有签名机制。正常情况下，开发者发布了一个应用，该应用一定需要开发者使用他的私钥对其进行签名。恶意攻击者如果尝试修改了这个应用中的任何一个文件（包括代码和资源等），那么他就必须对APK进行重新签名，否则修改过的应用是无法安装到任何Android设备上的。但如果恶意攻击者用另一把私钥对APK签了名，并将这个
一、背景介绍 近日，Android平台被爆出“核弹级”漏洞Janus（CVE-2017-13156），该漏洞允许攻击者任意修改Android应用中的代码，而不会影响其签名。 众所周知，Android具有签名机制。正常情况下，开发者发布了一个应用，该应用一定需要开发者使用他的私钥对其进行签名。恶意攻击者如果尝试修改了这个应用中的任何一个文件（包括代码和资源等），那么他就必须对APK进行重新签名，否则修改过的应用是无法安装到任何Android设备上的。但如果恶意攻击者用另一把私钥对APK签了名，并将这个修改过的
2）议题： 目前区块链项目如火如荼，几乎所有的区块链都会用到钱包，我们也经常听说椭圆曲线这个密码学术语，那么它们之间有没有什么关系？“加密货币”，到底是不是加了密的货币？为什么***和以太坊等众多区块链项目选用的是椭圆曲线而不是RSA？大名鼎鼎的Sony PS3上的私钥是如何被盗的？请报名者带好笔记本电脑，且看PPIO区块链开发工程师蒋鑫的技术分享。
作者 | Lily Hay Newman 译者 | 刘雅梦 策划 | Tina Rust 使得引入一些最常见的安全漏洞变得不可能， 而且它的采用也越快越好了。 无论你是为一家大型组织运营 IT 部门，还是仅仅拥有一部智能手机，你都会对由于缺陷和安全漏洞而造成的源源不断的软件更新感到非常熟悉。人们总会犯错，所以代码不可避免地会包含你所犯的错误。但是，越来越多的人开始使用一种叫做 Rust 的语言来编写软件，因为这种代码在一个重要方面是绝对安全的（goof-proof）。根据设计，开发人员在使用 R
在经过前一天的闭门会议后，由北京知道创宇主办的2015 KCon黑客大会于8月22日上午正式揭开神秘面纱，进入万众期待的技术分享环节。作为国内最重量级的“黑客盛宴”，一场以追求输出当前业界最新最牛“技
SMALI/BAKSMALI是一个强大的apk文件编辑工具，用于Dalvik虚拟机（Google公司自己设计用于Android平台的虚拟机）来反编译和回编译classes.dex。其语法是一种宽松式的Jasmin/dedexer语法，而且它实现了.dex格式所有功能（注解，调试信息，线路信息等）。
烦烦烦烦 过完年后，又是一波招聘热季，各种好公司、好岗位都在拼命招揽人才。自己也考虑到以后的发展和更好的工作还有未来，整天处于焦虑和烦恼的状态，看看自己现在拿到的工资，不多。所以为了改变这局面，打算下海试试水。 先讲一下自己的情况，2016 年本科毕业，在目前这家公司基本上已经在职一年半多了。而最近大半年在公司都是做 Java 开发，处于大白阶段，会写代码，但是没有深入到框架源码。 所以想要去市场上应聘 Android 岗位，还需要好好复习一番，因为半年没有碰 Android 了。结果还是发现有些知识点在
今年是 Black Hat 举办的第 20 个年头，高温酷暑也挡不住全世界黑客和安全人员奔赴拉斯维加斯的热情。毕竟这可是一年一度的盛大狂欢啊。今年的 BHUSA 从美国东部时间时间 7 月 22 日（北京时间 7 月 23 日）开始，到 7 月 27 日（北京时间 7 月 28 日）结束。前四天照例是各种 Training，而最后两天则是干货满满的各类 Briefing 分享，以及 Arsenal 工具展示分会场和 Pwnie Awards颁奖等内容，这些都是 Black Hat 的保留节目了。 FreeB
Android四大组件之ContentProvider ContentProvider 安卓应用程序默认是无法获取到其他程序的数据，这是安卓安全学的基石(沙盒原理)。但是经常我们需要给其他应用
写在前面 最近研究了下Android应用测试，找了一些资料，觉得OWASP这篇写的还是比较系统的，所以翻译出来给大家分享下。文中的翻译尽可能保持原文格式，但一些地方为了通顺和易于理解也做了一定改动，如
AMiner × 量子位 联合出品 编者按： 周亚金，现为浙江大学计算机科学与技术学院和网络空间安全学院“百人计划”研究员。 2010年，移动安全元年之时，刚好读博士的他从计算机底层技术转向移动安全，师从计算机安全著名学者蒋旭宪教授。 从此开启安全研究生涯，从0参与了一个领域的崛起。 他形容自己对计算机的热爱——其实并不需要外部支持或者条件，只要一个装满可乐和披萨的冰箱，一台电脑，一些勇往直前的勇气，就可以用计算机去创造自己想创造的。 如今，作为浙大研究员的他仍在享受安全研究这一领域的乐趣，并指出目前我们
之前发布过一份Web安全开发规范手册V1.0,看到收藏文章的读者挺多，发现整理这些文档还挺有意义。
我想说的是写个解析脚本不是为了模仿着 apktools 造轮子，而是在解析过程中寻找逆向的道路，方法会变，工具会变，但一切都建立在 dex 上的安卓不会变
注意： 这些讲座笔记是从 2014 年 6.858 课程网站上发布的笔记上稍作修改的。
随着运营商新技术新业务的发展，运营商层面对安全的要求有所变化，渗透测试工作将会面临内容安全、计费安全、业务逻辑及APP等方面的挑战。随着运营商自主开发的移动APP越来越多，这些APP可能并不会通过应用市场审核及发布，其中的安全性将面临越来越多的挑战。
欢迎来到 Angrave 的众包系统编程维基书！这个维基是由伊利诺伊大学的学生和教师共同建立的，是伊利诺伊大学 CS 的 Lawrence Angrave 的众包创作实验。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
