T/ISC 0018-2022 移动互联网应用程序（App）数据安全测评能力要求

ICS35.240.01

L70

团体标准

T/ISC0018—2022

移动互联网应用程序（App）数据安全测评能

力要求

DatasecuritytestandevaluationcapabilityrequirementsformobileInternetapplications

2022-11-01发布2023-02-01实施

中国互联网协会发布

T/ISC0018—2022

目  次

1范围.................................................................................1

2规范性引用文件.......................................................................1

3术语和定义和缩略语...................................................................1

4移动互联网应用程序数据安全测评能力模型...............................................1

5移动互联网应用程序数据安全测评能力管理要求...........................................2

6移动互联网应用程序数据安全测评能力技术要求...........................................3

附录A（资料性附录）基础级AndroidApp数据安全重点测评项目及方法....................6

附录B（资料性附录）基础级iOSApp数据安全重点测评项目及方法.......................11

附录C（资料性附录）增强级AndroidApp数据安全测评项目及方法.......................14

附录D（资料性附录）增强级iOSApp数据安全测评项目及方法...........................18

附录E（资料性附录）App数据安全测评报告模板........................................20

I

T/ISC0018—2022

前  言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起

草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。

本标准由中国互联网协会归口。

本标准主要起草单位：中国信息通信研究院、中国电子技术标准化研究院、中国软件评测中心、国

家工业信息安全发展研究中心、深圳市网安计算机安全检测技术有限公司、北京智游网安科技有限公司

（爱加密）、北京梆梆安全科技有限公司、成都思维世纪科技有限责任公司

本标准主要起草人：解伯延、王丹辉、谢玮、魏薇、陈湉、刘行、高超、唐刚、秦晓磊、余宇舟、

张渊、秦博阳、钟子呈、黄伟杰、韩云、章明珠、姜会安、任江辉、曾礼、方宁、卢佐华

II

T/ISC0018—2022

移动互联网应用程序（App）数据安全测评能力要求

1范围

本文件提供了了移动互联网应用程序数据安全测评工作的指南，对移动互联网应用程序

数据安全测评工作要求、测评内容进行了描述和规范，并针对移动互联网应用程序源文件、

存储、交互、安全防护等方面的数据安全风险给出相应测评方法。

本标准适用于移动互联网应用程序数据安全测评，可供测评机构开展移动互联网应用程

序数据安全测评工作时作为参考，为相关机构强化测评能力、健全技术手段提供指引，也可

供应用程序开发者、运营者在实施数据安全防护策略时参考。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期

的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括

所有的修改单）适用于本文件。GB/T37988—2019信息安全技术数据安全能力成熟度模

型

3术语和定义和缩略语

3.1术语和定义

下列术语和定义适用于本文件。

3.1.1移动互联网应用程序mobileinternetapplication

运行在移动智能终端上的应用程序。

注：包括移动智能终端预置、下载安装的应用程序和小程序。

3.1.2数据安全datasecurity

数据安全，是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安

全状态的能力。

[来源：GB/T37988—2019，定义3.1]

3.1.3识别identification

涉及查找、辨识和记录潜在数字证据的过程。

[来源：ISO/IEC27037:2012，定义3.12]

3.2缩略语

下列缩略语适用于本文件。

App移动互联网应用程序mobileinternetapplication

4移动互联网应用程序数据安全测评能力模型

1

T/ISC0018—2022

App数据安全测评能力管理要求明确测评对象、测评启动条件、测评实施流程以及测评

报告规范，App数据安全测评能力技术要求分为基础级与增强级，测评内容主要包括与数据

安全明确相关的风险、漏洞等测评项，测评能力模型如图1所示。

基础级App数据安全测评技术要求覆盖数据存储机制、传输情况、权限调用行为等易于

识别、核验的测评项。

增强级App数据安全测评技术要求覆盖恶意攻击防范、数据安全机制等需要一定技术能

力储备及人工核验的较为复杂的测评项。

图1App数据安全测评能力模型

5移动互联网应用程序数据安全测评能力管理要求

5.1测评对象要求

App数据安全测评的对象是App运营者、分发服务平台等App业务相关方开发、运营或分

发的App软件产品。

5.2测评启动条件要求

除行业主管部门组织开展的数据安全测评工作以外，满足下列情形之一的，App运营者、

应用分发平台及时启动测评，测评可自行进行或委托第三方进行：

2

T/ISC0018—2022

a)App于应用分发平台上线或于产品官网等其他渠道提供下载时开展测评；

b)根据App运营者、应用分发平台自身计划开展测评，如定期测评，以及在App业务功

能、程序逻辑等发生较大变化时开展测评；

c)行业主管部门要求开展数据安全测评时开展测评；

d)国家法律法规有相关要求或满足国家法律法规有关情形时开展测评。

5.3测评实施流程要求

测评实施流程包括如下三个阶段：

a)准备阶段

测评准备阶段包括制定测评方案、确定测评小组人员、获取被测App样本、明确测评项

目范围、评估测评环境及测评工具。

b)实施阶段

测评实施阶段包括采用工具扫描、沙箱模拟、动态测试、人工干预、功能遍历等方式，

发现App数据安全风险，评估App数据安全保护能力，针对风险制定整改措施。

c)结束阶段

测评结束阶段包括对实施过程、测评结果、整改方案等进行审查核验，根据准备阶段制

定的测评报告模板编制测评报告。

5.4测评报告规范要求

测评报告应当包括以下组成部分（参见附录E）：

a)App基本信息，包括被测App样本名称、版本、系统类型、样本来源、样本获取时间、

样本文件大小、样本文件MD5、运营者名称等；

b)测评设备信息，包括测评设备软硬件名称、软硬件配置、版本等；

c)测评项目说明，包括测评覆盖的风险项类别、名称、简要说明等；

d)测评结果汇总，包括测评发现风险数量统计、风险分布统计、风险名称、描述、对

应整改建议等；

e)测评结果明细，详细记录测评过程中发现的风险所在的文件路径、字段,对风险所在

位置进行截图存证并详细标注，同时针对发现的数据安全风险提出针对性的整改、修复建议。

6移动互联网应用程序数据安全测评能力技术要求

6.1基础级App数据安全测评能力技术要求

6.1.1源文件安全

基础级数据源文件安全问题测评以App源代码、资源文件、安全配置风险为核心，应对

App源文件中Java代码反编译、核心文件或关键明文字符串加密保护措施、测试代码残留、

注入漏洞等进行测评。

重点测评项目包括但不限于Js资源文件未加密、So文件破解、单元测试配置风险、WebSQL

注入漏洞、Plists信息泄漏、明文字符串泄露、外部函数显式调用风险、代码未混淆等（参

见附录A、附录B）。

6.1.2数据存储安全

3

T/ISC0018—2022

基础级数据存储安全问题测评以App功能配置、重要信息存储为核心，应对Webview组件

保存用户、密码功能的设置、安全策略有效性、本地存储数字证书文件的安全性、加密算法

的密钥设置、明文存储情况等进行测评。

重点测评项目包括但不限于Webview明文存储密码、WebviewFile同源策略绕过、明文

数字证书、调试日志函数调用、应用数据任意备份、密钥硬编码、数据库明文存储、配置文

件信息明文存储等（参见附录A、附录B）。

6.1.3数据交互安全

基础级数据交互安全问题测评以App组件配置、传输机制为核心，应对组件注册方式、

组件导出属性设置、数据传输协议情况等进行测评。

重点测评项目包括但不限于动态注册Receiver、Activity组件导出、Service组件导出、

BroadcastReceiver组件导出、ContentProvider组件导出、HTTP传输数据风险、缺乏有效

的Token机制等（参见附录A、附录B）。

6.1.4数据安全防护机制

基础级App数据安全防护机制测评以安全防护机制脆弱性为核心，应对Webview组件证书

校验情况、输入数据监听或按键位置记录、界面截图或录制、Webview组件接口函数调用策

略、SD卡后动态加载行为等进行测评。

重点测评项目包括但不限于Webview绕过证书校验、输入监听、截屏攻击、Webview远程

代码执行、从Sdcard加载So风险、主键截屏漏洞等（参见附录A、附录B）。

6.2增强级App数据安全测评能力技术要求

6.2.1源文件安全

增强级源文件安全问题测评在基础级测评的基础上，以源文件合法性、完整性保障机制

为核心，应对App签名证书验证机制、App签名算法安全性、App源文件篡改、二次打包防护

情况、调试证书使用情况等进行测评。

重点测评项目包括但不限于应用签名未校验、应用签名算法不安全、篡改/二次打包风

险、使用调试证书发布应用、注入攻击、Webview组件跨域访问风险等（参见附录C、附录D）。

6.2.2数据存储安全

增强级数据存储安全问题测评在基础级测评的基础上，以本地数据存储安全防护机制、

组件安全配置为核心，应对C层代码动态调试情况、组件读写权限设置、数据全局可读写状

态等进行测评。

重点测评项目包括但不限于动态调试攻击、数据库注入、SharedPreferences数据全局

可读写、InternalStorage数据全局可读写、GetDir数据全局可读写等（参见附录C、附录D）。

6.2.3数据交互安全

增强级数据交互安全问题测评在基础级测评的基础上，以App数据交互组件配置安全、

加密传输协议有效性为核心，应对组件之间数据交互机制、违法Intent请求或异常数据防护

策略、证书安全校验机制等进行测评。

重点测评项目包括但不限于Intent组件隐式调用、IntentSchemeURL攻击、HTTPS未校

验服务器证书等（参见附录C、附录D）。

6.2.4数据安全防护机制

4

T/ISC0018—2022

增强级数据安全问题防护机制测评在基础级测评的基础上，以App面临的数据安全威胁、

安全防护机制脆弱性为核心，应对界面劫持防护机制、绕过用户验证运行、动态注入防护策

略、执行命令过滤检验等进行测评。

重点测评项目包括但不限于界面劫持、“应用克隆”漏洞、Root设备运行、动态注入攻

击、Janus签名漏洞、XcodeGhost、ZipperDown等（参见附录C、附录D）。

5

T/ISC0018—2022

附录A

（资料性附录）

基础级AndroidApp数据安全重点测评项目及方法

A.1源文件安全

1）Js资源文件未加密

编号基础级-源文件-Android-01

测评项目Js资源文件未加密

问题描述APK的Js文件中可能包含重要显示界面以及Js执行代码，如果Js文件被读

取可能导致功能逻辑泄露，如果被篡改，可能被植入钓鱼页面或者恶意代码，

造成用户的敏感信息泄露。

测评方法解析Js资源文件，校验资源文件是否经加密保护。

2）So文件破解

编号基础级-源文件-Android-02

测评项目So文件破解

问题描述So文件被破解可能导致核心功能的汇编代码甚至源代码泄露，暴露客户端的

核心功能逻辑，攻击者可以利用这些信息窃取客户端的敏感数据，包括手机

号、密码；截获与服务器之间的通信数据；绕过业务安全认证流程，直接篡

改用户账号信息；对服务器接口发起攻击等。

测评方法检测So文件是否经加密保护，被测App企业应对自身So文件风险进行修复。

3）单元测试配置

编号基础级-源文件-Android-03

测评项目单元测试配置风险

问题描述测试代码存在配置单元中，和配置单元进行关联的风险。应用

Androidmanifest.xml文件保留有单元测试配置项或者源码中保留有单元测

试代码，容易导致客户端功能暴露，可能导致泄露客户端关键业务逻辑。

测评方法反编译APK文件，检测配置单元中是否存在测试代码。

4）WebSQL注入

编号基础级-源文件-Android-04

测评项目WebSQL注入漏洞

问题描述HTML5可以在浏览器里面存数据库。攻击者通过SQL注入点进行WebSQL攻击，

可能导致存储的敏感数据信息被查询泄露，例如账户名，密码等。

测评方法反编译APK文件，检测App是否使用HTML5