virtualxposed 检测Android隐私合规问题

1.1 遇到问题说明国内对应用程序安全隐私问题监管变的越来越严格。各个应用市场对APP上架也有比较严格的检查。出现隐私合规安全问题主要有哪些呢？在用户同意隐私协议之前，不能有收集用户隐私数据的行为。例如，在用户同意之前不能去获取 Android ID、Device ID、MAC 等隐私数据在用户同意隐私协议之后，搜集用户隐私数据的行为不能超出实现服务场景所必需的最低频率。

最近，参与了一个移动安全的技术大会，会议上分析了目前黑客的产业的一些技术以及常用的一些工具，以及防护的一些流程。下面就Android破解中常用的Xposed技术给大家做简单的讲解，逆向是一个持久的过程，而使用Xposed工具则是进行Hook的重要手段。 背景 Xposed，是Android平台上最负盛名的一个逆向分析框架，使用这个框架，我们可以加载很多插件App，这些插件App可以直接或间...

安卓端自行实现工信部要求的隐私合规检测二(使用Xposed/VirtualXposed进行监测)

最近公司启动了隐私合规检测,报告告知我们在用户未同意隐私协议前,我们APP提前获取了WIIF/SSID/Mac地址等信息,不合规需要处理 (就是在同意前以及拒绝后, 不进行某些SDK的初始化…,能在非root情况下掌控自己进程空间内的任意Java方法调用, 主要的就是用框架进行hook, 来抓取系统函数调用, 追踪三方SDK的启动情况/函数调用等。在尽量不改动原版功能的基础上,做好隐私协议的前置(在各种RN组件/三方组件加载前),不同意就多次确认后,退出APP, 基本上就是这种思路。

近年来android权限审查越来越严格、各种理由被拒、其实开发者心里也苦、有些权限鬼知道在什么时候偷偷请求... 那么多sdk 一 一排查 岂不要了老命乎？ 况且有些排查也是有难度的... 不是所有权限都有权限弹窗、如mac地址、设备号等... 解决方案：利用VirtualXpose工具（点击免费下载、无需翻墙）、结合hook来排查问题、相关链接：hookApk（点击下载demo工程、build文件夹中、有已编译好的apk 直接用即可）； 使用步骤： 1、打开VirtualXposed 点击添加应用.

随着国内渠道市场对APP规范越来越严格，在我们APP上线前需要做好隐私协议以及权限检查。由于项目中可能接入了第三方SDK，由于第三方SDK在初始化的时候可能会调用设备的隐私信息，因此检查合规非常的重要。一般情况下在用户使用APP的时候，只有选中了隐私协议之后，才能调取隐私信息。现在一些第三方SDK已经做了处理，比如：友盟SDK添加了预初始化，在预初始化的时候不会调取隐私信息。1，使用VirtualXposed在手机上装了一下虚拟系统，这里可以直接安装VirtualXposed.apk就可以 https://

背景：2020年，为切实加强用户个人信息保护，为人民群众提供更安全、更健康、更干净的信息环境，国家工信部决定开展纵深推进主流APP用户权益检测行动。APP、SDK处理用户个人信息方面，要求APP、SDK告知用户收集个人信息的目的、方式、范围，且需经用户同意后，方可收集用户个人信息。策略：增加隐私权限说明页。用户未同意隐私政策前，不进行包括三方SDK初始化在内的任何操作；若用户选择不同意，...

旧方法需要借助 VirtualXposed 和隐私检测 APK 两个工具来完成测试，但这其中存在很多问题，比如 VirtualXposed 兼容性差，长期缺乏维护，许多设备已经无法安装使用，问题频出，只能在少数特定机型上运行。本次分享的隐私测试工具和以往的xpose隐私检测方法，有很大区别，一个对比后支持范围和准确性，另外一个就是操作简便，兼容性强，报告查看方便；根据需要的测试场景进行操作，例如退出应用，然后点击“停止检测”，这样会自动生成一份 Excel 格式的检测报告。随后会弹出悬浮窗应用权限列表，

前言 由于开发的公司的APP上线华为市场被拒绝，APP以隐私政策弹窗前，非法收集用户信息，mac地址。 排查过程 通过抓包我们确认没用在弹出隐私条款前，发送类似的接口上报敏感信息，后和工信部电话沟通确认是只要你有调用getMacAddress此方法，就认定为非法的，即使你没有上报。所以就想怎么抓取那些sdk调用了getMacAddress 确定方案 使用VirtualXposed在手机上装了一下虚拟系统。 ：https://github.com/android-hacker/VirtualXposed Ho

VirtualXposed 是一个基于 VirtualApp 和 epic 的开源项目，旨在让用户无需 root、解锁 bootloader 或修改系统镜像即可使用 Xposed 模块。该项目支持 Android 5.0 至 10.0 版本。VirtualXposed 的主要功能是通过创建虚拟环境来运行 Xposed 模块，从而避免对系统进行修改。 ## 主要编程语言 VirtualXpose...

VirtualXposed是一款创新的Android框架工具，它通过在虚拟环境中运行应用和Xposed模块，实现了无需Root权限即可使用Xposed功能的目标。该项目基于VirtualApp和epic两大核心技术构建，支持Android 5.0至10.0系统版本。 ## 核心原理 VirtualXposed的技术实现主要依赖于两个关键组件： 1. **VirtualApp**：提供应用虚拟...

探秘VirtualXposed：一款轻量级的Xposed框架替代方案 项目地址:https://gitcode.com/gh_mirrors/vi/VirtualXposed 本文将为你揭开的神秘面纱，这是一款专为Android系统设计的轻量级Xposed框架替代工具。Xposed框架在安卓开发者和爱好者中广受欢迎，它允许用户安装各种模块以修改系统行为，但安装原生Xposed框架需要Root权限且...

VirtualXposed 是一个开源项目，旨在提供一种轻量级的虚拟化方案，用于Android平台的开发和测试。它允许开发者无需root权限即可在Android设备上模拟各种系统和应用环境，从而方便地进行应用开发和功能测试。 ## 2、项目的核心功能 - **虚拟环境创建**：可以创建多个虚拟环境，每个环境都有自己的系统设置和应用状态。 - **无需Root**：利用Android的ART运行时...

前言 前段时间315针对获取敏感的隐私信息（MAC地址）第一次要求整改时，我们使用了如下方案： 将已知的友盟SDK放在同意隐私权限后再初始化。 使用Hook&反射去拦截可能存在的其他第三方调用。 但是整改提交审核20多天后还是被下架了，我们只能认为： Hook&反射去拦截的方案是无效的，检测时只要调用获取MAC的方法就会被认为是违规的。 因此我们需要把App首次启动时所有会调用获取MAC的方法，放在同意隐私权限后再初始化。 但是App启动时会默认初始化几十个库&第三方服务，我

### 1.1 革命性的虚拟环境技术 VirtualXposed创新性地构建了一个独立的"应用沙盒"（虚拟环境），让用户无需对设备进行任何系统级修改（如Root、解锁Bootloader或刷入自定义镜像），就能运行Xposed模块。这项技术基于VirtualApp框架实现，相当于在现有安卓系统中开辟了一个隔离的"平行空间"，所有模块操作都在这个空间内完成，既保证了功能实现又确保了系统安全。 ##

**VirtualXposed** 是一个基于 VirtualApp 和 epic 的创新应用，它使得安卓用户能够在不进行设备根权限获取、解锁引导程序或修改系统镜像的情况下使用Xposed模块。这一项目特别适合希望自定义Android体验但不愿对设备安全采取高风险操作的用户。主要使用的编程语言包括 **Java** （约占代码库的80.2%）、**C++** 和少量 **AIDL**, **C**...

前言 之所以写这篇文章，是因为不久前，我们公司上架的app被打回来了。信通院那边出了个报告，里面说我们app未经授权就自动获取了手机的mac地址。当时其实是有点懵逼的，因为合规措施其实是已经做过了的，为什么还会出现这种情况呢？仔细看了一眼报告，发现了端倪: 出问题的是getHardwareAddress的调用。然后调用者是:cn.jiguang 这货不就是极光推送吗，那么应该是极光推送的调用部分出了问题。后来排查到JPushInterface.getRegistrationID这个方法在调用的时候就会走初