本文目录一览：
- 1、APP的安全漏洞怎么检测，有什么工具可以进行检测？
- 2、android渗透测试工具drozer可以进行的测试有哪些
- 3、安卓渗透是什么意思，网上看到好多安卓渗透软件，干什么用的？
- 4、做Android手机软件测试需要掌握哪些工具？
- 5、2016 黑客的 Android 工具箱都有哪些
APP的安全漏洞怎么检测，有什么工具可以进行检测？
目前我经常用的漏洞检测工具主要就是爱内测，因为爱内测会根据应用特性，对程序机密性会采取不同程度不同方式的检测，检测项目包括代码是否混淆，DEX、so库文件是否保护，程序签名、权限管理是否完整等；组件安全检测主要针对Activity、Broadcast Receiver、Service、WebView、Intent等是否存在漏洞，并给出针对性建议；数据安全会全面检测APP存在的数据泄漏漏洞和输出层、协议层等所有涉及数据安全的漏洞，确保APP里那些可能导致帐号泄露的漏洞被全部检测出。
android渗透测试工具drozer可以进行的测试有哪些
随着信息 *** 的发展，人们的信息安全意识日益提升，信息系统的安全防护措施也逐渐提高。通常在服务器的互联网边界处都会部署防火墙来隔离内外 *** ，仅仅将外部需要的服务器端 *** 露出来。采用这种措施可以大大的提高信息系统安全等级，对于外部攻击者来说，就像关闭了所有无关的通路，仅仅留下一个必要入口。但是仍然有一类安全问题无法避免，就是web应用漏洞。 目前的大多数应用都是采用B/S模式，由于服务器需要向外界提供web应用，http服务是无法关闭的。web应用漏洞就是利用这个合法的通路，采用SQL注入、跨站脚本、表单破解等应用攻击方式来获取服务器的高级权限。在目前的 *** 环境下，威胁更大的漏洞形式就是web应用漏洞，通常是攻击者攻陷服务器的之一步。常见的漏洞包括SQL注入、跨站脚本攻击和编码漏洞等，表单破解主要是针对服务器用户的弱口令破解。从本质上来说，应用漏洞的形成原因是程序编写时没有对用户的输入字符进行严格的过滤，造成用户可以精心构造一个恶意字符串达到自己的目的。
安卓渗透是什么意思，网上看到好多安卓渗透软件，干什么用的？
先把这个词分为两部分来解读：1.Android是一种基于Linux的自由及开放源代码的操作系统，主要使用于移动设备，如智能手机和平板电脑，由Google公司和开放手机联盟领导及开发。尚未有统一中文名称，中国大陆地区较多人使用“安卓”或“安致”。Android操作系统最初由Andy Rubin开发，主要支持手机。2005年8月由Google收购注资。2007年11月，Google与84家硬件制造商、软件开发商及电信营运商组建开放手机联盟共同研发改良Android系统。随后Google以Apache开源许可证的授权方式，发布了Android的源代码。之一部Android智能手机发布于2008年10月。Android逐渐扩展到平板电脑及其他领域上，如电视、数码相机、游戏机等。2011年之一季度，Android在全球的市场份额首次超过塞班系统，跃居全球之一。 2013年的第四季度，Android平台手机的全球市场份额已经达到78.1%。[1] 2013年09月24日谷歌开发的操作系统Android在迎来了5岁生日，全世界采用这款系统的设备数量已经达到10亿台。2.渗透，这里的渗透指的是渗透测试，而渗透测试是为了证明 *** 防御按照预期计划正常运行而提供的一种机制。不妨假设，你的公司定期更新安全策略和程序，时时给系统打补丁，并采用了漏洞扫描器等工具，以确保所有补丁都已打上。如果你早已做到了这些，为什么还要请外方进行审查或渗透测试呢？因为，渗透测试能够独立地检查你的 *** 策略，换句话说，就是给你的系统安了一双眼睛。而且，进行这类测试的，都是寻找 *** 系统安全漏洞的专业人士。
结合起来来说就是“
安卓平台的相关漏洞挖掘和测试，
端口扫描
漏洞发现
对路由器扫描
伪造数据包
会话控制(需要MSF RPC 连接)
中间人攻击
密码破解
有能力可以攻占路由器
常用软件：dsploit，Network Spoofer，zANTI，DroidSheep
上图为zanti软件运行截图。
相关书籍：
Android恶意代码分析与渗透测试
Android系统安全...等
做Android手机软件测试需要掌握哪些工具？
请注意测试本身不是靠工具的而是靠设计，这是我的理念，所以我一向觉得，很多人认为做测试做的好就是靠掌握一门好的工具，这个观点是不正确的，所以我可以负责任的告诉你，做Android手机需要掌握的不是工具、而是理念、思维、以及框架，总的来说是本质，而工具只是辅助，那么现在我来介绍一些我了解的工具（仅仅是了解，很多没用过）
开源 Android 软件测试工具包括：Android Test Kit, AndroidJUnit4, Appium, calabash-android, Monkey, MonkeyTalk, NativeDriver, Robolectric, RoboSpock, Robotium, UIAutomator, Selendroid。
Android Test Kit
Android Test Kit 是一组 Google 开源测试工具，用于 Android 平台，包含 Espresso API 可用于编写简洁可靠的 Android UI 测试。
AndroidJUnit4
AndroidJUnit4 是一个让 JUnit 4 可以直接运行在 Android 设备上的开源命令行工具。
Appium
Appium 是一个开源、跨平台的自动化测试工具，用于测试原生和轻量移动应用，支持 iOS, Android 和 FirefoxOS 平台。Appium 驱动苹果的 UIAutomation 库和 Android 的 UiAutomator 框架，使用 Selenium 的 WebDriver *** ON 协议。Appinm 的 iOS 支持是基于 Dan Cuellar's 的 iOS Auto. Appium 同时绑定了 Selendroid 用于老的 Android 平台测试。
Calabash-android
calabash-android 是一个基于 Cucumber 的 Android 的功能自动化测试框架。Calabash 允许你写和执行，是开源的自动化移动应用测试工具，支持 Android 和 iOS 原生应用。Calabash 的库允许原生和混合应用的交互测试，交互包括大量的终端用户活动。Calabash 可以媲美 Selenium WebDriver。但是， 需要注意的是 web 应用和桌面环境的交互跟触摸屏应用的交互是不同的。Calabash 专为触摸屏设备的原生应用提供 APIs。
Monkey
Monkey 是 Google 开发的 UI/应用测试工具，也是命令行工具，主要针对压力测试。你可以在任意的模拟器示例或者设备上运行。Monkey 发送一个用户事件的 pseudo-random 流给系统，作为你开发应用的压力测试。
MonkeyTalk
MonkeyTalk 是世界上最强大的移动应用测试工具。MonkeyTalk 自动为 iOS 和 Android 应用进行真实的，功能 *** 互测试。MonkeyTalk 提供简单的 " *** oke tests"，复杂数据驱动的测试套件。MonkeyTalk 支持原生，移动和混合应用，真实设备或者模拟器。MonkeyTalk 使得场景捕获非常容易，可以记录高级别，可读的测试脚本。同样的命令可以用在 iOS 和 Android 应用上。你可以记录一个平台的一个测试，并且可以在另外一个平台回放。MonkeyTalk 支持移动触摸和基于手势交互为主的移动体验。点击，拖拽，移动，甚至是手指绘制也可以被记录和回放。
NativeDriver
NativeDriver 是 WebDriver API 的实现，是原生应用 UI 驱动，而不是 web 应用。
Robolectric
Robolectric 是一款Android单元测试框架，使用 Android SDK jar，所以你可以使用测试驱动开发 Android 应用。测试只需几秒就可以在工作站的 JVM 运行。Robolectric 处理视图缩放，资源加载和大量 Android 设备原生的 C 代码实现。Robolectric 允许你做大部分真实设备上可以做的事情，可以在工作站中运行，也可以在常规的 JVM 持续集成环境运行，不需要通过模拟器。
RoboSpock
RoboSpock 是一个开源的 Android 测试框架。提供简单的编写 BDD 行为驱动开发规范的 *** ，使用Groovy 语音，支持 Google Guice 库。RoboSpock 合并了 Robolectric 和 Spock 的功能。
Robotium
Robotium 是一款国外的Android自动化测试框架，主要针对Android平台的应用进行黑盒自动化测试，它提供了模拟各种手势操作（点击、长 按、滑动等）、查找和断言机制的API，能够对各种控件进行操作。Robotium结合Android官方提供的测试框架达到对应用程序进行自动化的测 试。另外，Robotium 4.0版本已经支持对WebView的操作。Robotium 对Activity，Dialog，Toast，Menu 都是支持的。
UIAutomator
uiautomator 测试框架提高用户界面（UI）的测试效率，通过自动创建功能 UI 测试示例，可以在一个或者多个设备上运行你的应用。
Selendroid
Selendroid 是一个 Android 原生应用的 UI 自动化测试框架。测试使用 Selenium 2 客户端 API 编写。Selendroid 可以在模拟器和实际设备上使用，也可以集成网格节点作为缩放和并行测试。
2016 黑客的 Android 工具箱都有哪些
AndroRAT
AndroRAT一词源自Android与RAT（即远程管理工具）。这款顶级黑客工具已经拥有相当长的发展历史，而且最初其实是一款客户端/服务器应用。这款应用旨在帮助用户以远程方式控制Android系统，同时从其中提取信息。这款Android应用会在系统启动完成后以服务形式开始运行。因此，如果用户并不需要与该服务进行交互。此应用还允许大家通过呼叫或者短信等方式触发服务器连接。
这款极具实用性的Android黑客应用之功能包括收集联系人、通话记录、消息以及所在位置等信息。此应用还允许大家以远程方式对接收到的消息以及手机运行状态加以监控，进行手机呼叫与短信发送，通过摄像头拍摄照片以及在默认浏览器当中打开URL等等。
Hackode
Hackode是一款Android应用，其基本上属于一整套工具组合，主要面向高阶黑客、IT专家以及渗透测试人员。在这款应用当中，我们可以找到三款模块——Reconnaissance、Scanning以及Security Feed。
通过这款应用，大家可以实现谷歌攻击、SQL注入、MySQL Server、Whois、Scanning、DNS查找、IP、MX记录、DNS Dif、Security RSS Feed以及漏洞利用等功能。这是一款出色的Android黑客应用，非常适合入门者作为起步工具且无需提供任何个人隐私信息。
zANTI
zANTI是一款来自Zimperium的知名Android黑客套件。此软件套件当中包含多种工具，且广泛适用于各类渗透测试场景。这套移动渗透测试工具包允许安全研究人员轻松对 *** 环境加以扫描。此工具包还允许IT管理员模拟出一套先进黑客环境，并以此为基础检测多项恶意技术方案。
大家可以将zANTI视为一款能够将Backtrack强大力量引入自己Android设备的应用。只要登录至zANTI，它就会映射整套 *** 并嗅探其中的cookie以掌握此前曾经访问过的各个网站——这要归功于设备当中的ARP缓存。
应用当中的多种模块包括 *** 映射、端口发现、嗅探、数据包篡改、DoS以及MITM等等。