关于OWASP Moble Top10 Risks

OWASP机构发布了手机端的10大安全风险，分别如下：

脆弱的服务器端安全控制

这里指的是移动移动应用程序没有以一个安全的方式向服务器发送数据，或在发送数据时暴露了一些敏感的API。

不安全的数据存储

在设备上存储任意用户都可以访问的与应用相关的信息。但是一旦手机被root，就能够被恶意利用和访问

传输层保护不足

许多安卓开发者使用不安全的方式进行数据传输，比如以HTTP的方式，或者没有正确实现SSL。这使得应用程序在网络上容易受到各种不同类型的攻击，例如从应用向服务器发送数据的时候进行数据包拦截，参数操作，修改响应数据等，以便获得应用锁定区域的访问权限。

意外的数据泄露

当应用程序存储的位置本身就脆弱时，这个漏洞就会产生。
这些位置可能包括剪贴板，URL缓存，浏览器的Cookies，HTML5数据存储，分析数据等。例如，一个用户在登陆银行应用的时候已经把密码复制粘贴到了剪贴板，恶意应用程序通过访问剪贴板数据就可以获取密码了。

弱授权和身份认证

一个安卓应用程序，如果它们试图在没有适当的安全措施的情况下通过客户端检测进行用户验证或者授权，那么就是存在风险的。应当指出的是，当手机root后，大多数客户端的保护都是可以绕过的。因此，建议应用程序开发者使用适当的检测方法在服务器端进行身份验证和授权，然后，在移动设备上使用一个随机生成的令牌来验证用户。