文档教程网络安全【免费下载链接】mastgThe OWASP Mobile Application Security Testing Guide (MASTG) is a comprehensive manual for mobile app security testing and reverse engineering. It describes technical processes for verifying the OWASP Mobile Security Weakness Enumeration (MASWE) weaknesses, which are in alignment with the OWASP MASVS.项目地址https://gitcode.com/gh_mirrors/ow/mastg点击查看免费下载导读本文基于 OWASP Mobile Application Security Testing GuideMASTG中的测试用例 MASTG-TEST-0343系统讲解如何在 iOS 应用中检测URLSession的弱 TLS 协议配置。你将掌握URLSessionConfiguration两个 TLS 版本属性的判定标准、它们与 App Transport SecurityATS的相互作用关系以及从 IPA 包提取二进制、静态分析到人工复核的完整取证流程最终能够独立完成 MASVS-NETWORK 类别下该弱点的评估与报告撰写。该测试用例归属于MASWE-0026弱点、关联最佳实践 MASTG-BEST-0042并依赖 MASTG-KNOW-0071ATS 机制与 MASTG-KNOW-0073iOS 网络 API 分层两篇知识文档。测试目标URLSession 的 TLS 最小版本配置在 iOS 中URLSession是 URL Loading System 中最常用的高层网络接口。通过URLSessionConfiguration应用可以为单个URLSession实例定制 TLS 行为。其中控制会话 TLS 版本下限的属性有两个tlsMinimumSupportedProtocolVersion现代属性接受tls_protocol_version_t枚举值tlsMinimumSupportedProtocol已废弃的旧属性接受SSLProtocol枚举值如kTLSProtocol1。注意废弃属性tlsMinimumSupportedProtocol仍可被使用例如旧代码或第三方库使用它设置不安全的 TLS 最低版本同样会削弱该会话的 TLS 保护因此它同样属于本测试的检测范围。根据 MASTG-KNOW-0073URLSessionConfiguration还暴露了对应的上限属性tlsMaximumSupportedProtocolVersion及其废弃前身tlsMaximumSupportedProtocol。虽然本测试主要关注最小版本但在实际审计中若发现应用同时压低了最小版本又调低了最大版本应一并记录。为什么 TLS 1.0 / 1.1 是弱配置将tlsMinimumSupportedProtocolVersion设为.TLSv10tls_protocol_version_TLSv10值0x0301或.TLSv11tls_protocol_version_TLSv11值0x0302属于不良实践必须标记为失败。TLS 1.0 与 TLS 1.1 均已废弃多年存在已知的协议级弱点例如 TLS 1.0 对 BEAST 类攻击的敏感性、较弱的密码套件组合等不应用于生产环境。从 MASTG-BEST-0042 的角度看正确做法是不要将最小版本显式设置为 TLS 1.0 或 1.1优先保留默认值——默认值会继承 ATS 的最小版本要求TLS 1.2 及以上。此外自 iOS 26 起URLSession与 Network.framework 已强制要求最低 TLS 1.2系统层面不再接受任何允许 TLS 1.0/1.1 的豁免配置这进一步说明该弱点在当代系统上的风险收益完全失衡。关键前提URLSession 不绕过 ATS本测试最容易被误解的一点是与 Network.framework 不同URLSession不会绕过 ATS。ATSApp Transport Security自 iOS 9 起由操作系统强制实施作用于 URL Loading System 发起的连接其默认要求包括TLS 版本 1.2 或更高数据加密使用 AES-128 或 AES-256证书签名使用 RSA≥2048 位或 ECC≥256 位密钥证书指纹使用 SHA-256 或更高通过 ECDHE 密钥交换支持完美前向保密PFS。因此即使应用在代码中将tlsMinimumSupportedProtocolVersion设为 TLS 1.0ATS 依然会对该连接执行自己的最小 TLS 版本要求。除非Info.plist中存在匹配的 ATS 豁免NSExceptionMinimumTLSVersion否则连接在运行时仍会被 ATS 拦截。这正是 MASTG-KNOW-0071 所强调的代码中设置的值与 ATS 独立评估ATS 在代码配置之上叠加自身的 TLS 下限。与之形成鲜明对比的是 Network.frameworkATS 并不适用于该低层框架任何在代码中配置的弱 TLS 设置如最低 TLS 1.0会直接生效没有 ATS 这道安全网。这解释了为什么本测试针对 URLSession必须结合 ATS 配置综合评估而不能只看代码。检测步骤本测试属于[static, code, manual]类型即静态 代码级 人工确认的混合型测试包含三个标准步骤。步骤一从应用包提取二进制MASTG-TECH-0058使用技术文档 MASTG-TECH-0058 从 IPA 包中提取相关二进制。核心操作是解压 IPAunzip AppName.ipa解压后得到Payload/目录其中包含 Application Bundle.app。对 TLS 配置审计而言最重要的产物是应用二进制位于Payload/AppName.app/AppName与 bundle 同名、无.app后缀包含应用的主要代码即本测试需要静态分析的对象的 Swift/Objective-C 实现Info.plist包含 ATS 配置NSAppTransportSecurity等关键信息用于后续结合评估Frameworks/原生动态库与 framework第三方网络库的 TLS 配置代码可能在这里也值得检查。该技术文档还给出了查看Info.plist的实用命令Linux 环境需先安装libplist-utilsapt install libplist-utils plistutil -i Info.plist -o Info_xml.plist步骤二在二进制中定位相关 APIMASTG-TECH-0066使用技术文档 MASTG-TECH-0066 在应用二进制中查找与 TLS 版本配置相关的 API。该文档推荐使用 radare2r2进行静态分析以下是可直接套用的核心命令流程列出并过滤函数——URLSession相关的符号通常在sym.imp.导入符号区可用afl配合~过滤afl~tlsMinimumSupportedProtocol检查动态解析的函数——某些函数不会出现在afl列表中如通过dlopen/KVC 动态解析此时改用 flags 与字符串搜索f~tlsMinimumSupportedProtocol iz~tlsMinimumSupportedProtocol追踪交叉引用Xrefs——定位到目标符号地址后用axt找出其被调用的位置判断 TLS 配置是在哪段业务代码中设置的axt 0x1000078ac也可以使用axg反向绘制调用图理清配置代码的完整调用链。反汇编确认——用pdf反汇编目标函数、pd查看指定地址附近的指令确认实际设置的枚举常量值pdf function_address pd 5 0x1000048c4如果应用使用 Objective-C还需留意_objc_msgSend调用链中的 selector 字符串如setTLSMinimumSupportedProtocolVersion:若使用 Swift则关注tlsMinimumSupportedProtocolVersion属性写入点的符号。步骤三人工复核代码位置MASTG-TECH-0076静态工具命中后使用技术文档 MASTG-TECH-0076 对每个报告出的代码位置进行人工复核以确定被设置的 TLS 版本值。该文档强调人工分析需要系统性方法先理解应用的目标与行为再检查二进制中的字符串按名称定位相关函数与类最后从入口点沿调用链逐段确认。针对本测试复核重点是确认代码中写入的常量值——是tls_protocol_version_TLSv10/TLSv11这样的弱值还是TLSv12/TLSv13的安全值。同时判断该配置是否由第三方库引入可通过Frameworks/中的库定位以及是否存在条件分支导致不同路径设置不同版本。观察输出Observation测试步骤完成后输出应包含所有配置了 TLS 协议版本的URLSessionConfigurationAPI 调用如果存在。记录内容包括命中位置二进制中的地址、所属函数/类/库被设置的属性名tlsMinimumSupportedProtocolVersion或废弃的tlsMinimumSupportedProtocol设置的具体 TLS 版本常量及对应的十六进制值。若应用未进行任何显式 TLS 版本配置保留默认值观察输出应如实说明未发现相关 API 调用此时测试自然通过。判定标准Evaluation测试用例在以下任一条件下判定失败应用将tlsMinimumSupportedProtocolVersion设置为tls_protocol_version_TLSv10值0x0301或tls_protocol_version_TLSv11值0x0302应用将已废弃的tlsMinimumSupportedProtocol设置为对应 TLS 1.0kTLSProtocol1或 TLS 1.1kTLSProtocol11的值。判定时需特别注意两点区分配置了弱值与配置了安全值显式设置为 TLSv12/TLSv13 不构成失败属于合理的显式加固区分代码配置与ATS 豁免代码中的弱配置由本测试MASTG-TEST-0343负责判定Info.plist中通过NSExceptionMinimumTLSVersion等键弱化 ATS 的配置则由姊妹测试用例 MASTG-TEST-0342 负责判定。进一步验证Further Validation Required当静态分析命中可疑代码位置后还需要结合 ATS 配置进行运行时语义层面的进一步验证。原文档在 ATS 交互上给出了重要提示ATS 可能仍会对使用 URL Loading System 的连接强制执行最小 TLS 版本要求具体取决于Info.plist中的 ATS 配置。然而如果应用还配置了宽泛的 ATS 豁免参见 MASTG-TEST-0342则这些域名的有效 TLS 下限可能低于预期。也就是说判定不能停留在代码里写了 TLS 1.0这一层而应回答该连接实际协商到的最低 TLS 版本是多少。以下几种组合需要逐一区分代码配置的最小版本ATS 配置实际效果TLSv1.0 / TLSv1.1无 ATS 豁免ATS 在运行时拦截连接实际 TLS 下限仍为 1.2连接可能直接失败TLSv1.0 / TLSv1.1存在宽泛的NSExceptionMinimumTLSVersion豁免豁免域名的有效 TLS 下限被压低弱配置实际生效默认值继承 ATS无 ATS 豁免TLS 1.2 及以上安全TLSv1.2 / TLSv1.3任意显式加固安全因此评估报告的最终结论必须综合 MASTG-TEST-0343代码配置与 MASTG-TEST-0342ATS 配置两份测试的结果。若代码弱配置与 ATS 宽泛豁免同时存在构成纵深防御被双重击穿的高风险场景应在报告中突出强调。与 ATS 配置测试MASTG-TEST-0342的协同为了完整评估 MASWE-0026应将本测试与 MASTG-TEST-0342 配套执行。MASTG-TEST-0342 关注Info.plist中NSAppTransportSecurity下的三类弱配置NSAllowsArbitraryLoads true全局禁用 ATS允许明文 HTTP任一域名/IP 设置NSExceptionMinimumTLSVersion TLSv1.0或TLSv1.1任一域名/IP 设置NSExceptionRequiresForwardSecrecy false/NO/0关闭 PFS 要求。两份测试的覆盖关系可以概括为MASTG-TEST-0343 管代码层面的 TLS 下限MASTG-TEST-0342 管配置层面的 ATS 豁免。二者结合才能回答应用对外网络连接的有效安全强度这一完整问题。注意ATS 例外中存在早期NSTemporaryException...前缀的废弃键见 MASTG-KNOW-0071审计旧应用时也应一并检查。修复建议依据 MASTG-BEST-0042修复方向按优先级排列删除弱配置回归默认值移除对tlsMinimumSupportedProtocolVersion/tlsMinimumSupportedProtocol的 TLS 1.0/1.1 显式赋值让会话继承 ATS 的 TLS 1.2 默认下限优先修复服务端如果弱配置是为了兼容旧服务器应联系服务提供商升级 TLS 版本而非在客户端持续妥协任何临时豁免都应尽快移除必要时使用窄范围豁免若豁免不可避免仅针对具体域名配置、避免NSIncludesSubdomains true、绝不开全局NSAllowsArbitraryLoads并为 App Store 审核准备正当性说明Apple 自 2017 年 1 月 1 日起要求对相关 ATS 例外提供 justification统一使用 URL Loading System应用层 HTTPS 请求应优先走URLSession等高层 API 以自动获得 ATS 保护若必须使用 Network.framework / CFNetwork / BSD sockets则必须在代码中显式配置并强制强 TLS 设置详见 MASTG-BEST-0043 相关指引以及 MASTG-KNOW-0073 中sec_protocol_options_set_min_tls_protocol_version等函数的使用方式。适用范围与注意事项本测试面向使用URL Loading SystemURLSession的 iOS 应用使用 Network.framework、CFNetwork 或 BSD sockets 的 TLS 配置不在此测试覆盖范围内ATS 不适用于这些路径需按低层 API 场景另行评估代码中的弱 TLS 配置本身不会绕过 ATS判定失败与否取决于有效 TLS 下限因此务必结合 MASTG-TEST-0342 的 ATS 配置评估自iOS 26 / macOS Tahoe 26起系统强制最低 TLS 1.2TLS 1.0/1.1 连接在操作系统层面直接失败旧的豁免配置不再被接受——验证面向旧 TLS 版本的配置时建议在真实 iOS 设备而非模拟器上进行详见 MASTG-KNOW-0071 的运行时验证章节本测试为manual类型静态工具的命中结果必须经过人工反汇编复核确认避免将符号引用、废弃代码或动态解析误报为实际生效的配置。参考文件索引测试用例定义MASTG-TEST-0343姊妹测试ATS 配置MASTG-TEST-0342技术文档二进制提取MASTG-TECH-0058技术文档静态分析MASTG-TECH-0066技术文档人工复核MASTG-TECH-0076知识文档ATSMASTG-KNOW-0071知识文档网络 API 分层MASTG-KNOW-0073最佳实践强 TLS 配置MASTG-BEST-0042赞分享文档教程网络安全【免费下载链接】mastgThe OWASP Mobile Application Security Testing Guide (MASTG) is a comprehensive manual for mobile app security testing and reverse engineering. It describes technical processes for verifying the OWASP Mobile Security Weakness Enumeration (MASWE) weaknesses, which are in alignment with the OWASP MASVS.项目地址https://gitcode.com/gh_mirrors/ow/mastg点击查看免费下载相关推荐OWASP MASTG 实战iOS ATS 弱 TLS 策略异常检测与验证指南MASTG-DEMO-0109OWASP MASTG 实战iOS ATS 弱 TLS 策略异常检测与验证指南MASTG DEMO 0109 本文以 OWASP MASTG 仓库中的 M文档教程网络安全MASTG 实战指南在 iOS 二进制中检测 URLSession 被降至 TLS 1.0 的最低版本配置MASTG-DEMO-0110MASTG 实战指南在 iOS 二进制中检测 URLSession 被降至 TLS 1.0 的最低版本配置MASTG DEMO 0110 导读 本文以 O文档教程网络安全OWASP MASTG 实战检测 iOS App Transport Security 明文流量豁免配置MASTG-TEST-0322OWASP MASTG 实战检测 iOS App Transport Security 明文流量豁免配置MASTG TEST 0322 导读 本文围绕 O文档教程网络安全上一篇xray 2.0版本更新日志所有新功能与改进一览下一篇ReGameDLL_CS核心功能揭秘从CVars配置到Bot AI的全面优化创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考