前言

隨著移動(dòng)互聯(lián)網(wǎng)技術(shù)的快速發(fā)展和智能終端的普及深圳企業(yè)APP開(kāi)發(fā)，用戶(hù)逐漸從PC端和PC端網(wǎng)站遷移到移動(dòng)智能終端和移動(dòng)端網(wǎng)頁(yè)，導(dǎo)致開(kāi)發(fā)用戶(hù)的形態(tài)和生態(tài)也發(fā)生了相應(yīng)的變化和遷移，包括大量iOS原生應(yīng)用開(kāi)發(fā)的興起，以及網(wǎng)頁(yè)對(duì)移動(dòng)終端瀏覽的適配等這些新變化也對(duì)開(kāi)發(fā)開(kāi)發(fā)者提出了更高的要求，開(kāi)發(fā)開(kāi)發(fā)者如何以更低的成本實(shí)現(xiàn)應(yīng)用的跨平臺(tái)能力，同時(shí)滿(mǎn)足移動(dòng) 終端應(yīng)用分發(fā)需求。

在這個(gè)背景下，移動(dòng)除了 ()的開(kāi)發(fā)和分發(fā)形式外，還衍生出web ()和 ()兩種形式，  形式可以通過(guò)開(kāi)發(fā)語(yǔ)言（HTML,）以網(wǎng)頁(yè)形式實(shí)現(xiàn)，不僅滿(mǎn)足了開(kāi)發(fā)用戶(hù)低成本、跨平臺(tái)的開(kāi)發(fā)需求能力，也可以獨(dú)立以的形式上市、推廣和分發(fā)。

下圖是app[1]三種形式的對(duì)比。

應(yīng)用生態(tài)發(fā)展

根據(jù)公開(kāi)資料，該框架被認(rèn)為是應(yīng)用程序框架最早的鼻祖之一，也是框架的前身。，以及其他開(kāi)發(fā)框架也已經(jīng)在iOS應(yīng)用生態(tài)中得到了廣泛的應(yīng)用。

它可能是國(guó)內(nèi)應(yīng)用框架最早的實(shí)踐者之一[1]，由正儀無(wú)線(xiàn)（北京）科技有限公司公司開(kāi)發(fā)提供。截至目前，已有多家平臺(tái)提供在線(xiàn)app生成打包服務(wù)，甚至包括應(yīng)用分發(fā)、上市、備案、軟文發(fā)布等一站式服務(wù)流程，如（數(shù)字樂(lè)園） （北京）網(wǎng)絡(luò)科技有限公司公司）、（魚(yú)子（北京）科技有限公司公司）等。

開(kāi)發(fā)框架的核心主要是實(shí)現(xiàn)技術(shù)。國(guó)內(nèi)一些在線(xiàn)app生成平臺(tái)已經(jīng)能夠提供非常豐富的積木功能模塊和嵌入式SDK，供開(kāi)發(fā)用戶(hù)選擇。開(kāi)發(fā)甚至只需要提供一個(gè)web域名，勾選需要的功能模塊，就可以輕松生成一個(gè)app應(yīng)用。

app 構(gòu)建工具與 app 在線(xiàn)構(gòu)建平臺(tái)

這里我們將app生成工具定義為： 開(kāi)發(fā)用戶(hù)只需少量低成本的代碼編寫(xiě)或配置設(shè)置，即可通過(guò)app生成工具快速打包生成新的應(yīng)用文件的過(guò)程。

我們還結(jié)合業(yè)界對(duì)app生成工具[2]的分類(lèi)定義深圳移動(dòng)app開(kāi)發(fā)公司，按照以下維度對(duì)生成工具進(jìn)行評(píng)價(jià)：

由于 app 在線(xiàn)構(gòu)建平臺(tái)可能的行業(yè)范圍以及與上述 app 構(gòu)建工具和 開(kāi)發(fā) 框架的混淆，本報(bào)告重點(diǎn)關(guān)注在線(xiàn) app 打包構(gòu)建平臺(tái)服務(wù)，主要為國(guó)內(nèi)企業(yè)提供平臺(tái)式服務(wù)，開(kāi)發(fā)通過(guò)提供域名地址或少量網(wǎng)頁(yè)代碼實(shí)現(xiàn)，覆蓋部分高人氣個(gè)體開(kāi)發(fā)開(kāi)發(fā)' s app打包生成工具，主要app在線(xiàn)生成平臺(tái)列表見(jiàn)“附錄1”。

1個(gè)

app在線(xiàn)生成平臺(tái)的現(xiàn)狀

從app的生命周期來(lái)看，app在線(xiàn)生成平臺(tái)滿(mǎn)足了開(kāi)發(fā)用戶(hù)低成本實(shí)現(xiàn)跨平臺(tái)應(yīng)用的開(kāi)發(fā)需求，一些在線(xiàn)生成平臺(tái)也幫助開(kāi)發(fā)用戶(hù)一站式解決應(yīng)用分發(fā)問(wèn)題。

01

熱門(mén)app網(wǎng)代平臺(tái)服務(wù)介紹

下面我們以?xún)蓚€(gè)主流的app在線(xiàn)生成平臺(tái)為例，簡(jiǎn)單介紹一下它們提供的功能和服務(wù)。

《》在線(xiàn)生成平臺(tái)

《》全稱(chēng)公司《數(shù)字樂(lè)園（北京）網(wǎng)絡(luò)技術(shù)有限公司公司》為開(kāi)發(fā)用戶(hù)提供，uni-app，uni小程序sdk 、HTML5+、MUI等輔助開(kāi)發(fā)工具幫助開(kāi)發(fā)用戶(hù)快速低成本制作移動(dòng)互聯(lián)網(wǎng)多終端應(yīng)用。

它提供的功能服務(wù)是根據(jù)應(yīng)用程序生命周期的各個(gè)階段進(jìn)行映射的。

》》申請(qǐng)開(kāi)發(fā)制作相關(guān)服務(wù)

下圖為開(kāi)發(fā)用戶(hù)在申請(qǐng)開(kāi)發(fā)制作過(guò)程中，平臺(tái)為開(kāi)發(fā)用戶(hù)提供的相關(guān)功能，包括輕簡(jiǎn)單應(yīng)用開(kāi)發(fā)制作打包工具，具有嵌入式供應(yīng)鏈功能模塊的模塊化應(yīng)用程序。

這里我們關(guān)注 uni-app 和函數(shù)式服務(wù)。

uni-app 是一個(gè)將 Vue.js 開(kāi)發(fā) 用于所有前端應(yīng)用程序的框架。開(kāi)發(fā)寫(xiě)了一套網(wǎng)頁(yè)代碼，可以發(fā)布到iOS、Web（響應(yīng)式）、各種小程序（支付寶/淘寶/釘釘/今日頭條/QQ/快手/百度/微信）、快應(yīng)用等平臺(tái)。

網(wǎng)絡(luò)請(qǐng)求接入等功能可以通過(guò)官方API輕松實(shí)現(xiàn)[6]，其豐富的插件市場(chǎng)也可以輕松完成支付、更新升級(jí)插件和功能模塊等部分集成。

平臺(tái)社區(qū)還提供了豐富的 uni-app開(kāi)發(fā) 模板。開(kāi)發(fā)用戶(hù)下載相關(guān)的開(kāi)發(fā)模板后，通過(guò)簡(jiǎn)單的代碼修改即可實(shí)現(xiàn)類(lèi)似的應(yīng)用。

是將現(xiàn)有的M站（又稱(chēng)手機(jī)wap站，區(qū)別于PC網(wǎng)站）快速發(fā)布到app的增強(qiáng)解決方案。通過(guò)該框架，通過(guò)簡(jiǎn)單的配置和必要的編程，即可完成M網(wǎng)站的體驗(yàn)增強(qiáng)，實(shí)現(xiàn)原生應(yīng)用的功能體驗(yàn)，然后作為原生安裝包發(fā)布。

》》應(yīng)用分發(fā)相關(guān)服務(wù)

制作平臺(tái)的應(yīng)用打包方式包括離線(xiàn)打包和云打包。其中，離線(xiàn)打包是開(kāi)發(fā)下載相關(guān)工具，本地打包應(yīng)用代碼制作，云端打包需要開(kāi)發(fā)用戶(hù)上傳相關(guān)文件在線(xiàn)生成app應(yīng)用. 在應(yīng)用簽名方面，開(kāi)發(fā)用戶(hù)可以選擇公開(kāi)證書(shū)或自定義簽名證書(shū)進(jìn)行簽名發(fā)布。

下圖為應(yīng)用打包分發(fā)的工具界面。可以看到它還支持生成在線(xiàn)分發(fā)頁(yè)面入口或者放到其他分發(fā)平臺(tái)上。

通過(guò)以上兩種方案，可以比較方便的完成web到移動(dòng)app的轉(zhuǎn)換。此外，平臺(tái)還提供應(yīng)用分發(fā)平臺(tái)，協(xié)助開(kāi)發(fā)用戶(hù)獲取用戶(hù)。同時(shí)提供高速空間、短URL鏈接、二維碼，幫助應(yīng)用實(shí)現(xiàn)便捷的一站式分發(fā)。

（申請(qǐng)發(fā)布頁(yè)面示例）

由于平臺(tái)支持開(kāi)發(fā)用戶(hù)開(kāi)發(fā)制作一個(gè)app并提供應(yīng)用分發(fā)服務(wù)，我們更關(guān)注其對(duì)開(kāi)發(fā)的實(shí)名認(rèn)證和身份用戶(hù)評(píng)論。

安天移動(dòng)安全發(fā)現(xiàn)開(kāi)發(fā)用戶(hù)在使用大部分功能時(shí)不需要進(jìn)行實(shí)名認(rèn)證，只有在使用部分服務(wù)（如uniAD等）時(shí)才會(huì)需要開(kāi)發(fā) 用戶(hù)首先要進(jìn)行實(shí)名認(rèn)證認(rèn)證。

當(dāng)應(yīng)用制作完成打包后，如果申請(qǐng)敏感權(quán)限（如訪(fǎng)問(wèn)通訊錄），也會(huì)需要進(jìn)行實(shí)名認(rèn)證。如果開(kāi)發(fā)不申請(qǐng)相關(guān)敏感權(quán)限，如果不進(jìn)行實(shí)名認(rèn)證也可以進(jìn)行打包發(fā)布相關(guān)操作。

不過(guò)根據(jù)官方論壇用戶(hù)的反饋，我們也可以發(fā)現(xiàn)平臺(tái)對(duì)認(rèn)證信息的核查并不嚴(yán)格。

》》應(yīng)用運(yùn)營(yíng)相關(guān)服務(wù)

由于平臺(tái)為開(kāi)發(fā)用戶(hù)提供了自己的供應(yīng)鏈功能和服務(wù)，應(yīng)用嵌入這些供應(yīng)鏈后，可以為開(kāi)發(fā)用戶(hù)提供app用戶(hù)相關(guān)的運(yùn)營(yíng)服務(wù)，如圖在下圖中。

比如推出的集成統(tǒng)一推送服務(wù)，內(nèi)置系統(tǒng)級(jí)推送和第三方推送，如蘋(píng)果、華為、小米、OPPO、魅族等手機(jī)廠(chǎng)商。開(kāi)發(fā)用戶(hù)只需開(kāi)發(fā)一次。系統(tǒng)會(huì)自動(dòng)在不同手機(jī)上選擇最可靠的推送通道發(fā)送推送消息，以保證送達(dá)率。

還可以輕松集成uni-AD廣告聯(lián)盟平臺(tái)，幫助開(kāi)發(fā)用戶(hù)實(shí)現(xiàn)廣告投放。

（廣告網(wǎng)絡(luò)平臺(tái)后臺(tái)信息截圖）

“變色龍”在線(xiàn)生成平臺(tái)

“變色龍?jiān)啤笔翘旖蜃兩埧萍加邢薰竟镜漠a(chǎn)品，提供在線(xiàn)制作app、微信小程序、app托管等功能。

》》申請(qǐng)開(kāi)發(fā)制作相關(guān)服務(wù)

開(kāi)發(fā)用戶(hù)可以通過(guò)提供應(yīng)用名稱(chēng)和URL快速完成一個(gè)app 制作，還可以進(jìn)行一些微調(diào)，大大減少了移動(dòng)應(yīng)用開(kāi)發(fā)成本。

（app生成示例圖）

平臺(tái)對(duì)開(kāi)發(fā)用戶(hù)申請(qǐng)內(nèi)容的限制及審核政策如下圖所示。

》》應(yīng)用分發(fā)相關(guān)服務(wù)

申請(qǐng)?jiān)趪?guó)內(nèi)應(yīng)用市場(chǎng)上市需要經(jīng)過(guò)上市審核，并提供相應(yīng)的軟資料、域名備案信息等，平臺(tái)提供app上市服務(wù)和版權(quán)服務(wù)功能。如果您代為申請(qǐng)計(jì)算機(jī)軟件著作權(quán)登記證，在系統(tǒng)中填寫(xiě)表格，線(xiàn)下聯(lián)系客服即可完成相關(guān)服務(wù)。

其中app上架服務(wù)提供安卓和蘋(píng)果市場(chǎng)應(yīng)用上架服務(wù)，并提供免費(fèi)初審，提高上架成功率（包括oppo、vivo、華為、小米、用用寶、百度、360和其他應(yīng)用市場(chǎng)）。

軟作者申請(qǐng)：app電子版權(quán)、計(jì)算機(jī)軟件版權(quán)登記證書(shū)申請(qǐng)服務(wù)，最快處理時(shí)間1天拿證。

app內(nèi)測(cè)分發(fā)：上傳app文件，自動(dòng)生成下載鏈接和二維碼，用戶(hù)掃碼即可完成應(yīng)用的下載安裝，同時(shí)提供獨(dú)立下載頁(yè)面和頻道等功能信息統(tǒng)計(jì)。這種內(nèi)測(cè)分發(fā)服務(wù)可以應(yīng)用在社交網(wǎng)絡(luò)應(yīng)用中，通過(guò)用戶(hù)分享和裂變實(shí)現(xiàn)分發(fā)和傳播，也可以直接嵌入網(wǎng)站頁(yè)面進(jìn)行應(yīng)用分發(fā)和下載。

平臺(tái)在后臺(tái)運(yùn)行時(shí)，也需要實(shí)名認(rèn)證后才能進(jìn)行應(yīng)用分發(fā)等操作。

》》應(yīng)用運(yùn)營(yíng)相關(guān)服務(wù)

平臺(tái)還在應(yīng)用運(yùn)行時(shí)為開(kāi)發(fā)用戶(hù)提供了一些特定的服務(wù)，例如“防紅域名”、域名攔截檢測(cè)等功能。

02

生成平臺(tái)應(yīng)用總體規(guī)模及趨勢(shì)

在對(duì)生成平臺(tái)應(yīng)用的長(zhǎng)期持續(xù)關(guān)注和檢測(cè)中，安天移動(dòng)發(fā)現(xiàn)，近五年來(lái)，在線(xiàn)生成平臺(tái)制作打包的應(yīng)用樣本數(shù)量呈快速增長(zhǎng)趨勢(shì)。逐年增加。

從生成平臺(tái)樣本的用戶(hù)規(guī)模分布可以發(fā)現(xiàn)，大部分使用在線(xiàn)生成平臺(tái)打包制作的應(yīng)用都集中在長(zhǎng)尾部分。單個(gè)應(yīng)用只有少量用戶(hù)，86%以上的一代平臺(tái)相關(guān)應(yīng)用的DAU在100以下。

根據(jù)代平臺(tái)打包的制作應(yīng)用類(lèi)別統(tǒng)計(jì)，TOP5代平臺(tái)應(yīng)用開(kāi)發(fā)依次為生活服務(wù)、網(wǎng)購(gòu)、游戲、影音播放、辦公業(yè)務(wù)。

（生成平臺(tái)應(yīng)用類(lèi)別分布）

我們統(tǒng)計(jì)分析了主流在線(xiàn)生成平臺(tái)制作打包的應(yīng)用數(shù)量。該平臺(tái)生成的應(yīng)用數(shù)量最多，遠(yuǎn)超其他生成平臺(tái)。第二，在流行的生成平臺(tái)應(yīng)用中，有一些是通過(guò)非正規(guī)的在線(xiàn)生成平臺(tái)生成的應(yīng)用。

（不同代平臺(tái)應(yīng)用數(shù)量及用戶(hù)規(guī)模分布）

我們還統(tǒng)計(jì)了主流網(wǎng)代平臺(tái)制作應(yīng)用的用戶(hù)規(guī)模覆蓋情況，如下表所示。

03

網(wǎng)生平臺(tái)安全問(wèn)題現(xiàn)狀

安天移動(dòng)安全基于自身的安全感知能力和應(yīng)用風(fēng)險(xiǎn)檢測(cè)技術(shù)，目前app在線(xiàn)生成平臺(tái)存在以下安全問(wèn)題：

1. 網(wǎng)絡(luò)生成平臺(tái)被黑灰團(tuán)伙不同程度地用于開(kāi)發(fā)、制作網(wǎng)絡(luò)犯罪應(yīng)用或風(fēng)險(xiǎn)應(yīng)用。可以說(shuō)，這些在線(xiàn)生成平臺(tái)已經(jīng)成為移動(dòng)互聯(lián)網(wǎng)時(shí)代網(wǎng)絡(luò)犯罪的幫兇，它提供的功能和服務(wù)大大降低了網(wǎng)絡(luò)犯罪應(yīng)用的開(kāi)發(fā)制作成本和時(shí)間，而且這種現(xiàn)象一天比一天嚴(yán)重。

2、大部分網(wǎng)代平臺(tái)都存在開(kāi)發(fā)用戶(hù)身份審核和申請(qǐng)審核的問(wèn)題。部分網(wǎng)生平臺(tái)不對(duì)開(kāi)發(fā)用戶(hù)提供實(shí)名認(rèn)證要求。上傳應(yīng)用內(nèi)容和功能的審核機(jī)制薄弱，甚至不存在。

3、在線(xiàn)生成平臺(tái)提供豐富的插件功能模塊，以及一站式的應(yīng)用分發(fā)服務(wù)和上架服務(wù)。這些功能服務(wù)為中小開(kāi)發(fā)用戶(hù)提供便利，同時(shí)也為黑灰產(chǎn)品開(kāi)發(fā)開(kāi)發(fā)者提供機(jī)會(huì)，通過(guò)積木式的產(chǎn)品功能選擇、多樣化的分發(fā)方式（包括應(yīng)用商店審查或多個(gè)線(xiàn)下分發(fā)渠道），以及開(kāi)發(fā)用戶(hù)在平臺(tái)上傳的應(yīng)用配置信息和相關(guān)代碼的加密，將增加對(duì)此類(lèi)風(fēng)險(xiǎn)應(yīng)用治理的難度。

4、如果app 開(kāi)發(fā)某些特定類(lèi)別的用戶(hù)選擇了不合適的生成平臺(tái)生成，也可能引入一些隱私合規(guī)風(fēng)險(xiǎn)問(wèn)題。

以下是我們對(duì)主流在線(xiàn)生成平臺(tái)制作惡意應(yīng)用和風(fēng)險(xiǎn)應(yīng)用數(shù)量的統(tǒng)計(jì)分析。

》》在線(xiàn)生成平臺(tái)整體惡意樣本和風(fēng)險(xiǎn)應(yīng)用占比

我們對(duì)網(wǎng)生平臺(tái)應(yīng)用的病毒檢出率和風(fēng)險(xiǎn)行為程度進(jìn)行了分析統(tǒng)計(jì)，事實(shí)證明網(wǎng)生平臺(tái)的審核機(jī)制存在不少漏洞。

》》網(wǎng)絡(luò)生成平臺(tái)惡意風(fēng)險(xiǎn)應(yīng)用總體分布

# 惡意應(yīng)用分發(fā)

惡意廣告類(lèi)應(yīng)用占在線(xiàn)生成平臺(tái)應(yīng)用的比例高達(dá)61%，遠(yuǎn)超其他類(lèi)型，說(shuō)明利用在線(xiàn)生成平臺(tái)應(yīng)用實(shí)現(xiàn)惡意廣告盈利的應(yīng)用總數(shù)最多。

但部分類(lèi)型的包名占比高達(dá)51%，遠(yuǎn)超其他惡意類(lèi)型。這種現(xiàn)象在一定程度上表明，在線(xiàn)生成平臺(tái)應(yīng)用中的風(fēng)險(xiǎn)應(yīng)用類(lèi)型更加碎片化，變化更加頻繁。

我們統(tǒng)計(jì)了TOP5流行一代平臺(tái)的惡意應(yīng)用，其次依次是色情應(yīng)用、貸款詐騙應(yīng)用、裸聊詐騙應(yīng)用、色情廣告推送應(yīng)用、金融造假應(yīng)用。

# 應(yīng)用風(fēng)險(xiǎn)類(lèi)型分布

我們對(duì)使用代平臺(tái)的風(fēng)險(xiǎn)應(yīng)用進(jìn)行了統(tǒng)計(jì)分析，發(fā)現(xiàn)貸款詐騙類(lèi)應(yīng)用占比最高，遠(yuǎn)高于其他風(fēng)險(xiǎn)類(lèi)型，其次依次為色情、色情、假冒金融平臺(tái)、投資理財(cái)詐騙等。類(lèi)別，打開(kāi)多個(gè)克隆應(yīng)用程序。由于生成平臺(tái)采用低成本、批量化的在線(xiàn)服務(wù)制作流程，為風(fēng)險(xiǎn)應(yīng)用的生成帶來(lái)了極大的便利。

》》主流代平臺(tái)惡意樣本、風(fēng)險(xiǎn)應(yīng)用數(shù)量及類(lèi)別分布對(duì)比

不同代平臺(tái)惡意風(fēng)險(xiǎn)應(yīng)用占比

我們還發(fā)現(xiàn)，部分生成平臺(tái)惡意、風(fēng)險(xiǎn)應(yīng)用占比較高，個(gè)別生成平臺(tái)基本成為風(fēng)險(xiǎn)、病毒應(yīng)用的加工生產(chǎn)中心。

不同平臺(tái)產(chǎn)生的惡意應(yīng)用類(lèi)型

不同代平臺(tái)應(yīng)用風(fēng)險(xiǎn)類(lèi)型統(tǒng)計(jì)

2個(gè)

app在線(xiàn)生成平臺(tái)案例研究

01

網(wǎng)代平臺(tái)仿冒應(yīng)用案例

樣本基本信息如下：

應(yīng)用程序運(yùn)行并調(diào)用本地資源文件，加載微信模板頁(yè)面，達(dá)到仿冒“微信”的效果。

仿冒“微信”程序信息界面截圖如下：

02

在線(xiàn)生成平臺(tái)彩播應(yīng)用案例

樣本基本信息如下：

應(yīng)用可以直接通過(guò)在線(xiàn)生成平臺(tái)加載網(wǎng)址完成色情漫畫(huà)app的制作：運(yùn)行截圖信息如下：

它的URL信息在///中聲明，通過(guò)開(kāi)源直接加載和運(yùn)行該URL。

該應(yīng)用程序還會(huì)訪(fǎng)問(wèn)色情韓國(guó)漫畫(huà)網(wǎng)站，這些網(wǎng)站的網(wǎng)頁(yè)包含色情內(nèi)容并誘導(dǎo)付款。

03

網(wǎng)游生成平臺(tái)游戲應(yīng)用案例

樣本基本信息如下：

應(yīng)用完成從web到移動(dòng)終端app的快速轉(zhuǎn)換和發(fā)布，其URL等配置信息在/apps/io.fhpt./www/ index.html 文件。

最后通過(guò)訪(fǎng)問(wèn)獲取游戲網(wǎng)站鏈接，訪(fǎng)問(wèn)游戲網(wǎng)站。

04

網(wǎng)代平臺(tái)詐騙應(yīng)用案例

樣本基本信息如下：

本應(yīng)用主要代碼功能通過(guò)本地html和js代碼實(shí)現(xiàn)，在/apps//www/index.html。

通過(guò)js代碼獲取通訊錄信息和短信信息并上傳，竊取用戶(hù)隱私信息，完成后續(xù)勒索的前期數(shù)據(jù)采集。

通過(guò)偽裝的虛假接口信息獲取用戶(hù)輸入的手機(jī)號(hào)碼信息。

05

利用生成平臺(tái)攻擊互金行業(yè)案例

樣本基本信息如下：

應(yīng)用運(yùn)行截圖信息如下：

抓包獲取應(yīng)用URL是

應(yīng)用通過(guò)在線(xiàn)生成平臺(tái)生成，從/獲取配置信息。

解密配置信息：

>>>高度定制面向app生成的框架攻擊案例

暗雷是一種新型的黑業(yè)詐騙形式，通過(guò)色情、刷單等方式誘導(dǎo)用戶(hù)安裝惡意app，并引導(dǎo)用戶(hù)在app內(nèi)支付“小額會(huì)員費(fèi)”?？此剖且还P“小”款，實(shí)則支付了數(shù)百元甚至數(shù)千元。

移動(dòng)段安雷的前身其實(shí)就是大家熟知的“一元”木馬。早在2006年就問(wèn)世了，移動(dòng)app覆蓋了我們的工作和生活，同時(shí)，黑產(chǎn)的技術(shù)也在不斷更新?lián)Q代，暗雷的黑產(chǎn)也得到了從PC端轉(zhuǎn)移到移動(dòng)端。2018年，移動(dòng)端H5暗雷登場(chǎng)。隨著技術(shù)對(duì)抗的不斷升級(jí)，暗雷逐漸發(fā)展成為最近的暗雷。

對(duì)于H5暗雷，通過(guò)在app中的三方或四方支付工具的H5頁(yè)面加載收銀機(jī)，利用頁(yè)面元素可覆蓋可篡改的特性覆蓋支付金額與，讓用戶(hù)看似“小”支付，實(shí)際提交大訂單。

對(duì)于暗礦深圳移動(dòng)app開(kāi)發(fā)公司，惡意app需要獲取懸浮窗、輔助功能等權(quán)限。調(diào)用三方或四方支付工具app客戶(hù)端，打開(kāi)惡意app假小額支付頁(yè)面，騙取用戶(hù)支付密碼，跳轉(zhuǎn)到假大額支付訂單頁(yè)面，然后通過(guò)輔助功能獲得控制權(quán)，將虛假的小額支付請(qǐng)求頁(yè)面放在最上面，覆蓋真實(shí)的大額支付。

以某視頻app為例，其運(yùn)行界面顯示會(huì)員費(fèi)為1.99元，但通過(guò)實(shí)際分析和后臺(tái)網(wǎng)絡(luò)請(qǐng)求數(shù)據(jù)可知，最終支付請(qǐng)求金額為500元。

同時(shí)，該代碼還使用執(zhí)行代碼對(duì)相關(guān)H5界面元素進(jìn)行處理，使用戶(hù)無(wú)法查看到真實(shí)的支付界面信息。

隱礦詐騙現(xiàn)已形成完整的產(chǎn)業(yè)鏈。他們有明確的分工。圈內(nèi)有這樣的俚語(yǔ)：船長(zhǎng)->平臺(tái)管理員，漁夫->平臺(tái)運(yùn)營(yíng)商，魚(yú)->受害者，殺魚(yú)/開(kāi)->詐騙成功，已扣款->支付寶提示有風(fēng)險(xiǎn)支付失敗。

船長(zhǎng)是專(zhuān)業(yè)的技術(shù)研發(fā)團(tuán)隊(duì)。他們負(fù)責(zé)暗礦客戶(hù)端和服務(wù)器的建設(shè)。隨著安全對(duì)抗的升級(jí)，船長(zhǎng)們不愿暴露自己，紛紛退居幕后，為下游漁民提供一站式服務(wù)。船長(zhǎng)使用高度面向定制的app生成框架，生成具有不同app名稱(chēng)和略微不同支付方式的app，以方便不同漁民的渠道分配。如下圖，船長(zhǎng)搭建了服務(wù)管理后臺(tái)。后臺(tái)由漁民填寫(xiě)賬戶(hù)信息、收款信息、分成比例和詐騙方式生成漁民獨(dú)有的隱藏礦山詐騙app，

（一些暗雷app后臺(tái)生成模板設(shè)置）

3個(gè)

總結(jié)

隨著移動(dòng)互聯(lián)網(wǎng)技術(shù)和智能終端的廣泛普及，移動(dòng)互聯(lián)網(wǎng)應(yīng)用場(chǎng)景和媒體形態(tài)越來(lái)越豐富，app成為重要的流量入口。app混合模型開(kāi)發(fā)，隨著各種app生成平臺(tái)的出現(xiàn)，使各種開(kāi)發(fā)人能夠以較低的資本和勞動(dòng)力成本實(shí)現(xiàn)app快速的開(kāi)發(fā)大大縮短了移動(dòng)應(yīng)用開(kāi)發(fā)周期，模塊化和app在線(xiàn)生成平臺(tái)的后臺(tái)支持也節(jié)省了后期維護(hù)成本。

在流量利益的驅(qū)動(dòng)下，黑灰生產(chǎn)規(guī)?；瘮U(kuò)張，黑灰生產(chǎn)產(chǎn)業(yè)鏈具有規(guī)?；⑾到y(tǒng)化、可低成本復(fù)制的特點(diǎn)。安天移動(dòng)安全攜手支付寶，持續(xù)檢測(cè)分析移動(dòng)惡意應(yīng)用、風(fēng)險(xiǎn)應(yīng)用和移動(dòng)金融風(fēng)險(xiǎn)。從app開(kāi)發(fā)、資質(zhì)審核、上市審核、市場(chǎng)運(yùn)作，市場(chǎng)上已經(jīng)形成一條服務(wù)于app全生命周期的黑灰色產(chǎn)業(yè)鏈，其中app一代平臺(tái)，這無(wú)疑為移動(dòng)生態(tài)安全帶來(lái)了不容忽視的安全隱患。

移動(dòng)互聯(lián)網(wǎng)生態(tài)的良性有序發(fā)展，離不開(kāi)相關(guān)行業(yè)規(guī)范和標(biāo)準(zhǔn)的引導(dǎo)，離不開(kāi)對(duì)海量發(fā)現(xiàn)和技術(shù)手段的管理和約束。app生成平臺(tái)具有開(kāi)發(fā)技術(shù)門(mén)檻低、成本低、跨平臺(tái)適配等特點(diǎn)，可以滿(mǎn)足很多中小企業(yè)的實(shí)際需求，不應(yīng)該是一個(gè)黑灰制作作惡的工具。

app網(wǎng)代平臺(tái)應(yīng)明確app安全規(guī)程，加強(qiáng)app安全審計(jì)，從源頭上防范風(fēng)險(xiǎn)app進(jìn)入市場(chǎng)。對(duì)于商業(yè)模式轉(zhuǎn)型引入的增值服務(wù)，如軟件版權(quán)代理、應(yīng)用上市等，應(yīng)嚴(yán)格執(zhí)行app安全評(píng)估，不為風(fēng)險(xiǎn)app提供便利獲取相關(guān)權(quán)證或上市，在規(guī)范自身運(yùn)營(yíng)的同時(shí)助力良性有效的生態(tài)建設(shè)。