2025 移动银行应用安全报告
对 500 多款移动银行应用的研究结果：哪些防护已经到位，差距在哪里。附 PDF 报告。
研究
Ostorlab 原创安全研究
移动与银行安全研究、我们披露的漏洞、AI 智能体的发现，以及我们维护的开源工具。每一项都链接到完整文章或代码，方便您的团队核实细节。
显示条目：39
原创研究
移动银行应用研究、我们发现并报告的漏洞，以及针对银行恶意软件的威胁研究。
银行报告系列
持续追踪的移动银行安全研究
我们移动银行应用研究的两个版本。对照阅读，可以了解防护措施和常见弱点的变化。
Security Landscape of Mobile Banking Applications in North America（在新标签页中打开）
上一版研究，聚焦北美银行应用，可作对比参考。
Keycloak: Unauthenticated Denial of Service via Oversized SAML dateTime and Duration Values（在新标签页中打开）
SAML 消息中超长的 dateTime 和 duration 值在解析时没有长度限制，未经身份验证的攻击者可借此耗尽服务器 CPU，导致所有用户无法使用服务。
llama.cpp: Denial of Service via Oversized recv_msg Length in ggml-rpc Server（在新标签页中打开）
ggml-rpc 的 recv_msg() 中未捕获的 std::length_error 异常会在收到超过 vector max_size() 的超大消息长度头时通过 std::terminate 终止服务器进程。
llama.cpp: Stack-Based Buffer Overflow in ggml-rpc RDMA rdma_recv（在新标签页中打开）
ggml-rpc 的 RDMA 传输层存在基于栈的缓冲区溢出漏洞，未经身份验证的远程攻击者可通过 rdma_recv() 中超长的 verbs 工作完成事件实现远程代码执行或拒绝服务。
Assimp: Heap Out-of-Bounds Read via MD2 Importer Integer Overflow（在新标签页中打开）
Assimp 的 MD2Importer::ValidateHeader() 中存在整数溢出漏洞，攻击者可通过精心构造的 numFrames 和 numVertices 值绕过帧表边界检查，导致堆越界读取。
LibreSSL: CRLF Injection, Cleartext Transmission, and Memory Exhaustion in OCSP（在新标签页中打开）
在 LibreSSL 中发现了 4 个 CVE，涵盖 libcrypto 和 ocspcheck 中的 CRLF 注入、通过未加密 HTTP 明文传输 OCSP 请求，以及响应端无限响应导致的内存耗尽。
OpenImageIO: Cineon Reader Heap Out-of-Bounds Read（在新标签页中打开）
在 OpenImageIO 的 Cineon 编解码器扫描行分配中发现整数回绕漏洞，导致堆欠分配并在解压过程中发生越界读取。
VLC for Android: Confused-Deputy File Overwrite via Spoofed Mail Attachment Provider（在新标签页中打开）
VLC for Android 中的 confused deputy 任意文件覆盖漏洞：无权限应用可伪造 K-9 Mail 附件提供者的 authority，在 VLC 拥有“所有文件访问”权限时，诱使 VLC 覆盖共享 Download 目录中的文件。
Chatwoot: Stored XSS via Help Center Video Embed Links（在新标签页中打开）
在 Chatwoot 帮助中心视频嵌入链接渲染中发现存储型 XSS 漏洞：带尖括号和双引号的链接目标会跳出 render_embed_from_match 中未转义的 iframe src 属性，导致脚本在公开访客端执行并窃取 widget 令牌。
HarfBuzz: Out-of-Bounds Write and DoS in WebAssembly Shaper（在新标签页中打开）
在 HarfBuzz 的 WebAssembly 整形器中发现了 2 个 CVE，涵盖越界写入及 NULL 指针解引用导致的拒绝服务（DoS）。
Keycloak: Stored XSS on the Login Page via kcSanitize Bypass（在新标签页中打开）
在 Keycloak 登录主题渲染中发现存储型 XSS 漏洞：fixURLs() 后处理会重新激活已被 kcSanitize 中和的字符引用，导致脚本在该 realm 所有用户的认证前登录页面上执行。
Poppler: Stack-Based Buffer Overflow in Decrypt::revision6Hash（在新标签页中打开）
在 Poppler 的 Decrypt::revision6Hash 中发现了基于栈的缓冲区溢出漏洞，在打开 AESV3/R6 加密的 PDF 时可能导致内存破坏。
Breaking Down GoPhish: Source-Code Assessment with Ostorlab Agentic Deep Scan（在新标签页中打开）
利用 Ostorlab Agentic Deep Scan 在 GoPhish 中发现了涵盖 SSRF、XSS、速率限制绕过及对象接管等维度的 5 个 CVE。
ZIP Exploitation: Critical Vulnerabilities in Popular Zip Libraries in Swift and Flutter（在新标签页中打开）
iOS 和 Flutter 应用所用 ZIP 库中的五个 CVE：您的应用可能通过依赖继承这一风险。
From Signal to the Android SDK: Chaining Path Traversal, Mimetype Confusion, Security Check Bypass（在新标签页中打开）
一条从 Signal 延伸到 Android SDK 的漏洞链。Signal 在 3 小时内确认报告并完成修复；未分配 CVE。
Bypassing Mobile App Shielding: Where Detection Ends and Enforcement Fails（在新标签页中打开）
针对四款商业应用加固产品测试五款生产环境中的银行应用：检测有效，但防护措施未能落实。
Inside BeatBanker / BTMOB: Static Analysis of a Multi-Stage Android Banking Malware Platform（在新标签页中打开）
对一个多阶段 Android 银行恶意软件平台的静态分析，这正是您客户手机面临的威胁类型。
One Scheme to Rule Them All: OAuth Account Takeover（在新标签页中打开）
自定义 URL scheme 劫持导致账户接管，这一模式同样适用于移动银行的登录流程。
zCamera, 100M+ installation app, from remote compromise to data leaks（在新标签页中打开）
在一款安装量超过 1 亿的应用中，从远程入侵到数据泄露。
AI 智能体实战
我们的 AI 引擎在智能体渗透测试中发现的漏洞，先是移动应用，再到其背后的 API。
Javascript Interface Exposure（在新标签页中打开）
我们的 AI 引擎在一款 Android 应用中发现了可通过深层链接访问的 WebView JavaScript 桥接接口。
Going Beyond: Ostorlab AI Engine Discovers Unknown Vulnerability Classes（在新标签页中打开）
AI 引擎发现了未被指定查找的漏洞类别，其中包括一个 WebView Safe Browsing 绕过。
AI-Powered Pentesting: A Deep Dive into Android Intent Redirection（在新标签页中打开）
AI 引擎如何发现 Android Intent 重定向，并用可运行的概念验证加以证明。
AI Pentest Engine Discovers Critical WebSocket BFLA in GraphQL Subscriptions（在新标签页中打开）
后端 API 的 GraphQL 订阅中存在访问控制缺陷，也就是您移动应用背后的服务器。
AI Engine Triggers Account Takeover via API Version Confusion（在新标签页中打开）
通过旧版 API 上仍然暴露的密码重置流程实现账户接管。
技术
面向移动安全从业者的实践文章：混淆、插桩、逆向工程与证书固定。
Bypassing Obfuscation in Android Apps: DalvikFLIRT and LLM-Powered Rewrites（在新标签页中打开）
如何借助签名匹配和 LLM 重写，从混淆的 Android 应用中恢复可读代码。
Swift Under the Microscope: Practical Dynamic Instrumentation（在新标签页中打开）
对 iOS 应用中 Swift 代码进行动态插桩的实践。
Flutter Reverse Engineering and Security Analysis（在新标签页中打开）
如何对 Flutter 构建的应用进行逆向工程和安全评估。
Universal bypass of SSL Pinning, from theory to a full working PoC with LLDB（在新标签页中打开）
使用 LLDB 通用绕过 SSL 证书固定，从原理到可运行的概念验证。
Application Security Testing on non-Jailbroken iOS from Linux（在新标签页中打开）
在 Linux 工作站上，对未越狱设备中的 iOS 应用进行安全测试。
Mapping Dependency Confusion: A Novel Detection Approach using Source Map Files（在新标签页中打开）
一种利用 source map 文件检测依赖混淆的方法。
基准测试与测试应用
了解 Neutron 在加州大学伯克利分校 CyberGym 上经验证的漏洞利用结果，以及团队可用于评估安全工具的开放基准和刻意设计为存在漏洞的应用。
Ostorlab Neutron on UC Berkeley CyberGym（在新标签页中打开）
Neutron 在加州大学伯克利分校的 CyberGym 上实现了 97.1% 的经验证漏洞利用成功率：在涉及开源 C/C++ 项目已知漏洞的 1,507 项任务中，完成了 1,463 项。请阅读我们的技术文章，了解运行配置、方法和结果。
Introducing Ostorlab Security Testing Benchmarks: Real Vulnerabilities, Real Impact（在新标签页中打开）
包含 93 款存在漏洞的移动应用的开放测试数据集，基于真实 CVE 和漏洞赏金发现。使用这些可复现的目标评估移动安全工具。
存在漏洞的 Android 和 iOS 应用
故意设计的漏洞应用，任何人都可以用作测试目标。
Ostorlab's Insecure Flutter Apps: A Playground for Learning and Testing Mobile Security（在新标签页中打开）
故意设计的 Flutter 漏洞应用，用于学习和测试工具。
开源
我们公开开发和维护的工具。
Ostorlab/oxo（在新标签页中打开）
我们的开源安全扫描编排器：每月 PyPI 下载量超过 15,000 次，过去 12 个月发布 113 个版本。
Ostorlab/KEV（在新标签页中打开）
一条命令即可检测已知被利用的漏洞，数据来源包括 CISA KEV、Tsunami 和 Asteroid。
Ostorlab/agent_asteroid（在新标签页中打开）
KEV 背后的远程漏洞检测智能体。
CI 集成
通过 GitHub Actions、Azure DevOps 或 GitLab CI 扫描每一次发布。
此外还有 30 多个开源智能体，包括 Nmap、ZAP、Nuclei、Tsunami、OpenVAS、Semgrep 和 TruffleHog。浏览智能体 （在新标签页中打开）