近两年公司端侧发现的漏洞很大一部分都出在WebView白名单上，针对这类漏洞安全编码团队也组织过多次培训，但是这种漏洞还是屡见不鲜。下面本人就结合产品中容易出现问题的地方，用实例的方式来总结一下如何正确使用WebView白名单，给开发的兄弟们作为参考。
Cpolar是一种安全的内网穿透的服务，可以将内网下的本地服务器通过安全隧道暴露至公网，使得公网用户可以正常访问内网服务，是一款优秀内网穿透软件。
什么是签名？ 在Apk中写入一个“指纹”。指纹写入以后，Apk中有任何修改，都会导致这个指纹无效，Android系统在安装Apk进行签名校验时就会不通过，从而保证了安全性。
公司有一些标准的对外https服务，内部调用也需要走https的方式，但是可以用内部IP，这个时候就会遇到证书校验域名不通过的问题，需要忽略。本文分别介绍curl，wget和okhttp中忽略域名校验的方法 curl 错误内容 curl: (51) Unable to communicate securely with peer: requested domain name does not match the server's certificate. 忽略方式 一种是添加临时域名解析缓存的方式，
需求描述：假设在自己的微信小程序中，希望请求 https://www.escook.cn/ 域名下的接口
多种姿势花样使用Frida注入是怎么回事呢？Frida相信大家都很熟悉，但是多种姿势花样使用Frida注入是怎么回事呢，下面就让小编带大家一起了解吧。 多种姿势花样使用Frida注入，其实就是用不止一种方式注入Frida，大家可能会很惊讶Frida为什么要用多种方式注入？但事实就是这样，小编也感到非常惊讶。 这就是关于多种姿势花样使用Frida注入的事情了，大家有什么想法呢，欢迎在评论区告诉小编一起讨论哦！
在企业微信后台填写可信域名后，提示：未验证域名归属，JS-SDK功能受限，如下图：
CDN是一种分布式加速系统。不管如何，只是作为加速，返回给客户的内容需要和源站保持一致，所有地区节点的用户访问统一资源得到的返回内容应该是一致。但我们在实际的使用过程中，可能会遇到有的用户发生了不同节点访问，返回的内容是不一致的情况。 这是怎么回事呢， 我们来看下下面这个例子。
转载请注明出处。请前往 Tiga on Tech 查看原文以及更多有趣的技术文章。
本文引用了颜向群发表于高可用架构公众号上的文章《聊聊HTTPS环境DNS优化：美图App请求耗时节约近半案例》的部分内容，感谢原作者。
背景介绍： 一般开发者会指定使用自己创建的证书，如果没有指定，则会默认使用系统的证书，该默认的证书存储在C:\Users\admin.android\debug.keystore，不同的电脑可能安装不同路径。一个签名证书文件中，是包含一对公私钥，用私钥对apk进行签名，在安装到android手机时，系统会使用证书中对应签名私钥的公钥来验证，查看apk是否被更改过，如果没有则可以安装在手机上。任何的app store都不允许使用默认的debug.keystore打包的apk发布上去，因为debug.keystore的密码是默认的，不安全。 一，没有签名的APK无法安装 Android的APK要进行签名才能够安装到手机上，这是因为在安装的时候系统会进行检测，平时我们直接点AS里面那个绿色的运行按钮也能够直接安装到手机上，这是因为其实它也进行了签名，只不过AS自动帮我们做了这个操作有个默认的签名
链接：https://www.jianshu.com/p/052ce81ac953
近期更新Android应用可要注意了，不要随意点个链接就升级，你的正宗应用可能升级成山寨应用哦。 Google在12月发布的安全公告中提到的“Janus”漏洞，可使攻击者在不改变原应用签名的情况上，注入恶意代码。
前言 何老师开启了逗猫线程； 何老师开启了黑科技线程； 何老师 嘿嘿嘿； 何老师 烫烫烫； 对 APK 进行保护是我们经常需要做的事，而且似乎也是每个公司必备的技能了。在使用如 ProGuard，DexGuard 等常见的产品之余，也有很多公司自行研发了一些保护的方案，专门来针对自家产品做出保护，比如说我司也开发了专门防止二次打包的工具。 在开发这款产品，并用于实战的过程中，也发现了很多坑，下面一一细数过来，希望对同样也希望开发一款 APK 保护类产品的人们能有所启发。 坑一: 签名校验 本来以为签名校验是
重打包是一种将非产品代码静态插入到安装包中，从而实现注入测试代码的能力。这种技术可以用于非root手机上无法利用ptrace动态注入被测进程的场景。
了解 HTTPS 通信的同学都知道，在消息通信时，必须至少解决两个问题：一是确保消息来源的真实性，二是确保消息不会被第三方篡改。
本文将介绍Android应用中的native层（C/C++代码编译生成的.so文件）的SO加固方法，以及潜在的破解方式。SO加固旨在防止动态链接库（.so文件）被恶意分析、修改和破解。
前几天，一个哥们向我提了一个需求，怎么能改变当前应用的位置信息。当时工作比较忙，就说有时间研究下。想了下，这个可以有三种方式来解决。
接下来的两篇文章，我们主要介绍对app短信验证码安全进行测试。我们将通过burp软件的intruder模块模拟生成4位纯数字短信验证码测试app短信验证码的安全性。我们要分析的app发送短信验证码的请求中带有sign签名校验，模拟发送短信验证码时需要同时生成sign校验值。因此这篇文章主要先介绍如何生成sign签名校验值。
可以使用hbuilder，创建一个uniapp模版，在pages/index.vue中添加/修改如下代码
XSS, 即为（Cross Site Scripting）, 中文名为跨站脚本攻击
数字签名它是基于非对称密钥加密技术与数字摘要算法技术的应用，它是一个包含电子文件信息以及发送者身份，并能够鉴别发送者身份以及发送信息是否被篡改的一段数字串。
答：因为黑客通过反编译APK得到源码后，会在应用中插入代码，获取利益，比如添加广告，盗取用户账号、密码，后台定制活动等。
1.小程序代码包不得超过2MB，如果有一些资源过大无法插入，建议使用云存储 2.小程序上线发布需要要求有页面分享功能在onload()中插入uni.showShareMenu() 3.小程序网络请求需要为https 云开发不用考虑这个 4.开启安全域名校验 把需要的地址添加进web小程序管理端 的开发管理的服务器域名 5
关注微信公众号 ASFOR 回复“WeTypecho源码”即可下载。 关注微信公众号 ASFOR 回复“WeTypecho插件”即可下载。
先调用 wx.login(Object object) 获取临时登录凭证，及code，然后wx.request()方法将登录凭证发送到开发者服务器，开发者服务器得到code以后通过appiid和appsecret以及code将信息发送到微信接口服务，然后微信接口服务器将信息返回session_key + openid 等信息，接着开发者服务器进行自定义登录态，即将登录态将openid，session_key进行关联，然后向小程序防返回自定义登录态。
最近，在朋友圈看到有人发贝壳找房在Appstore上的下载排行榜，已进入前三。于是，我在应用宝上下载了贝壳release apk。
Android为了保证系统及应用的安全性，在安装APK的时候需要校验包的完整性，同时，对于覆盖安装的场景还要校验新旧是否匹配，这两者都是通过Android签名机制来进行保证的，本文就简单看下Android的签名与校验原理，分一下几个部分分析下：
step4:开发者后台调用微信后台提供的 phonenumber.getPhoneNumber 接口，消费code来换取用户手机号。每个code有效期为5分钟，且只能消费一次。
使用Lint对无用资源进行清理，而Lint则可以检查所有无用的资源文件，只要使用命令./gradlew lint或者在Android Studio工程中点击Analyze->Inspect Code,选择Whole Project点击ok就行。它在检测完之后会提供一份详细的资源文件清单，并将无用的资源列在“UnusedResources: Unused resources” 区域之下。只要你不通过反射来反问这些无用资源，你就可以放心地移除这些文件了。
小程序开发对于前端开发者来说其实很简单，稍微看一下官方文档就能够上手了。 但是，如果是第一次开发小程序，多多少少还是还是会遇到一些坑的。 最近恰好开发了一个正式版本的小程序，下面是开发过程中的一些总结以及遇到了一些问题。
**小提示：**微信小程序中的WebSocket API跟标准HTML5中的WebSocket接口及用法略有不同，但主要API都能一一对应，相差不大。
okhttp是一个网络请求框架，也是目前市面上使用最多的网络框架之一。 之前参与的项目一直没使用，这次刚好有个机会使用OKHttp，记录下。
在Android 7.0（Nougat）推出了新的应用签名方案APK Signature Scheme v2后，之前快速生成渠道包的方式（美团Android自动化之旅—生成渠道包）已经行不通了，在此应用签名方案下如何快速生成渠道包呢？ 本文会对新的应用签名方案APK Signature Scheme v2以及新一代渠道生成工具进行详细深入的介绍。 新的应用签名方案APK Signature Scheme v2 Android 7.0（Nougat）引入一项新的应用签名方案APK Signature Sch
基于van、mpvue开发的微信小程序，记录了开发前的技术选型、开发时如何搭建环境、上手项目、踩坑等。
一般来讲，若请求返回的状态码是4xx、5xx，会被视为错误状态码。如果这些异常状态码的请求比例超过5%，则需要引起重视及深入分析，看看是什么原因导致，对实际业务影响几何。
JNI全称是Java Native Interface（Java本地接口）单词首字母的缩写，本地接口就是指用C和C++开发的接口。由于JNI是JVM规范中的一部份，因此可以将我们写的JNI程序在任何实现了JNI规范的Java虚拟机中运行。同时，这个特性使我们可以复用以前用C/C++写的大量代码。JNI目前提供两种注册方式，静态注册方式实现较为简单，但有一些系列的缺陷，动态注册要复写JNI_OnLoad函数，过程稍微复杂。
apksigner是Google官方提供的针对Android apk签名及验证的专用工具,
插件化技术最初源于免安装运行apk的想法，支持插件化的app可以在运行时加载和运行插件，这样便可以将app中一些不常用的功能模块做成插件，一方面减小了安装包的大小，另一方面可以实现app功能的动态扩展。小编所在项目，近期有插件相关测试需求，为了更深入的进行测试，进行了学习。
这个项目是凯神的开源项目，用这个项目可以帮助你在脱离手机的情况下以Unidbg为中心去做模拟执行/ so 算法还原
我们知道，一款Android 要发布的话，必须经过签名，Android目前支持的签名方式包括三种：
移动直播 iOS 或者 Android 端 SDK，调用TXUGCPublish上传接口publishVideo返回失败，或者上传完成回调返回失败。
小程序现在非常火爆，仅微信小程序已经拥有1.7亿日活用户，上线58万个小程序，吸引了超过100万个开发者，2300个第三方开发平台加入，有hishop小程序、有赞小程序、晓商+小程序、微盟小程序、微尘小程序、青芒小程序、胜赞小程序、点点客小程序、品玩小程序、有店小程序......近两年，小程序电商快速崛起，小程序电商之所以被看好，根本原因在于微信以及支付宝的社交优势。微信拥有超过10亿人次的日活跃用户，对于互联网商业来说，这是一个巨大的增量。相比PC和APP时代，小程序大幅降低了做生意的门槛，诸多数据也一再印证了小程序在电商领域的巨大潜力。
在一些特殊场景下，我们可能希望对于 GET 或 POST 进入到接口的数据进行签名和有效期的校验，例如 APP 请求后端接口的场景，我们通常需要考虑两个问题：
在上一篇文章《写给开发人员的实用密码学 - 数字证书》中介绍了数字证书，但要让用户信任颁发的数字证书，这里就需要引入 CA 中心。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
