说到移动安全，可能大家比较陌生，因为这方面的研究是在最近几年才逐渐火起来的。那么什么是移动安全呢？首先，我们知道，移动安全无非就是ios平台和安卓平台上的一些安全性的问题，包括平台系统系统本身的一些问题和应用层面上的问题。当然在客户端和服务端在进行交互的时候还需要涉及一些通信协议，主要是http及https协议，当然还有一些其他的协议，比如websocket等等。
这些协议本身的缺陷我们就不做过多的关注了，我们需要关注的是数据包在传输的过程中是否有进行必要的加密，服务端是否有对用户的操作权限进行控制，服务端的一些业务逻辑处理是否存在缺陷等等，这一方面的思路基本和web渗透差不多，但也有一些不同，后面会讲到。
二、木马攻击说到移动安全，当然少不了病毒和木马的攻击，常见的远控木马有droidjack、SpyNote等等，还有前一段时间如雨后春笋般涌现的锁机软件。
图1Droidjack
图2 锁机软件
攻击者可以利用Droidjack这类软件，生成木马程序，这种恶意的木马程序一般存在于一些三流的apk市场里。一般来说，攻击者会在这些apk中投放一些带有诱惑性的信息，比如免费观看某某美女视频，某某视频免广告客户端，某某爽图浏览器等等。攻击者将这些带有诱惑性信息的apk发布到网络上后，会在远程服务器上起一个服务端程序，一旦用户安装运行了这个恶意程序，黑客就可以在远程服务端对用户手机进行操控，监视用户的各种行为，进而窃取用户隐私信息。
归根结底，这些木马病毒层面的攻击，主要还是由于用户安全意识方面太薄弱，就不做为主要的讨论对象了，我们主要还是针对安卓的应用层面的安全性进行一些讨论。
三、App服务端漏洞挖掘那么我们该如何进行app漏洞的挖掘呢？首先，对于从web安全转战移动端漏洞挖掘的安全工作者而言，当然想挖一挖和自己所在领域比较相近的漏洞，而app的服务端基本和web安全领域的服务端差不多，只是web程序它的客户端