标签
#Security
2026 年最佳移动应用安全测试平台
对比面向 Android 和 iOS 的 Ostorlab、NowSecure、Appknox、Data Theorem、Quokka、Zimperium 和 MobSF，附功能矩阵和向厂商提出的价值验证问题。
2026年1月5日
Android FLAG_SECURE：阻止截屏与录屏
介绍 Android 的 FLAG_SECURE 如何阻止截屏、录屏和最近应用预览，并提供代码示例、使用场景、局限性以及投屏时的行为。
2025年12月29日
AI 渗透测试引擎在 GraphQL 订阅中发现严重的 WebSocket BFLA
Ostorlab 的 AI 渗透测试引擎系统性地发现了一个 GraphQL WebSocket 端点中严重的函数级授权失效（BFLA）漏洞，该漏洞允许在未经身份验证的情况下访问一项实时翻译服务。...
2025年12月26日
AI 引擎通过 API 版本混淆触发账户接管
在 Ostorlab 的 AI 引擎发现跨版本密码重置弱点并在无需邮箱访问的情况下实现账户接管时，有条理的分析胜过了盲目的模糊测试。
2025年12月15日
更多 #Security 标签文章
揭开现代 SPA 中一条二阶数据外泄链
如何在一个现代 SPA 中发现一条二阶的客户端数据外泄链，并通过 JavaScript 分析与漏洞利用链验证，将一个简单的开放重定向转变为一个多阶段的数据窃取漏洞。
2025年12月10日
更进一步：Ostorlab AI 引擎发现未知的漏洞类别
Ostorlab 以推理驱动的 AI 引擎突破基于规则方法的局限，揭示此前未知且难以检测的漏洞——包括 WebView Safe Browsing 绕过、通过查询投影实现的 SQL 注入、WebCrypto 密钥窃取以及 JWT 验证顺序缺陷——从而带来更深入、更智能、互为补充的安全覆盖。
2025年10月13日
Ostorlab 安全测试基准测试发布：真实漏洞，真实影响
首个开源基准测试套件，包含 93 个贴近真实的存在漏洞的移动应用，它们再现的是真实的 CVE 和漏洞赏金发现，而非理论化的教科书示例。
2025年9月22日
AI 驱动的渗透测试：深入剖析 Android Intent 重定向
本文展示了 Ostorlab 的 AI 渗透测试引擎分析某 Android 应用以查找 Intent 重定向漏洞的过程。跟随该引擎从静态分析、初步发现到严格的动态验证的全过程，领略它不仅能够识别潜在威胁，还能够细致地排除误报的能力。
2025年8月31日
安全研究自动化：AI 引擎利用 GCP 服务账户密钥
本文深入、实操地分析并在真实环境中利用了一个在 HackerOne 移动应用中发现的、拥有过高 Pub/Sub 权限的硬编码 GCP 服务账户。文章详细说明了 Ostorlab 的 AI 驱动渗透测试引擎如何自动完成从身份验证、权限枚举到端到端消息注入/拦截的完整流程，使问题在四天内得到修复。
2025年8月28日
从 Signal 到 Android SDK：串联路径遍历、Mimetype 混淆、安全检查绕过与文件描述符爆破以实现任意文件访问
本技术分析揭示了精巧的攻击链——结合路径遍历、符号链接操纵和 Android SDK 的怪异行为——如何能够突破 Signal Android 的防御以窃取敏感的内部文件，即便其传奇般的加密依然完好无损。尽管 Signal 在数天内修复了这些漏洞，但这些发现提供了至关重要的经验：看似微不足道的缺陷如何能被串联成强大的漏洞利用，以及为什么即便是最出色的安全架构也需要多层防御
2025年8月11日
让安全研究自动化：AI 引擎利用 Report Portal XXE 漏洞（CVE-2021-29620）
本文对 Report Portal 中一个带外 XXE 漏洞 CVE-2021-29620 的利用进行了深入的实操分析与概念验证。文章详细说明了 Ostorlab 的 AI 驱动渗透测试引擎如何被用来自动化完成整个流程。
2025年8月7日
安全研究自动化：AI 引擎利用 Zulip 存储型 XSS（CVE-2025-52559）
本文对 Zulip 中的存储型 XSS 漏洞 CVE-2025-52559 的利用进行了深入、实操的分析与概念验证（PoC），详细介绍了如何使用 Ostorlab 由 AI 驱动的渗透测试引擎来实现整个流程的自动化。
2025年7月28日
了解您应用的数据习惯：深入剖析我们全面的隐私分析
Ostorlab 的隐私扫描（Privacy Scan）能够自动检测您应用隐私政策的声明与其实际行为之间的不一致。这种对政策文本、权限、代码和 UI 元素的全面分析，帮助移动开发者避免合规违规，并通过准确的隐私实践建立用户信任。
2025年5月27日