https://github.com/zhengjim/camille安装环境：python3、frida 、一台已root手机，并在手机上运行frida-server下载：git clone https://github.com/zhengjim/camille.gitcd camillepip install -r requirements.txtpython camille.py -h用法简单使用：python camille.py com.zhengjim.myapplicationcom.zhengjim.myapplication为测试app的包名，会显示时间、行为和调用堆栈可以根据场景来判断是否合规，如：获取敏感信息是否是在同意隐私政策之前等python camille.py com.zhengjim.myapplication -ns -f demo01.xls-ns：不显示日志默认显示-f：保存app行为轨迹到到execl里默认不保存python camille.py com.zhengjim.myapplication -t 3-t：hook应用自己的函数或含壳时，建议使用setTimeout并给出适当的延时(1-5s，需要根据不同app进行调整)以免hook失败默认不延迟如下图：不加延迟hook失败加了延迟hook成功合规自查清单根据工信部信管函〔2020〕164号文（共37项）相关要求，形成自测清单15项，各公司可根据实际安全合规要求，自行调整APP、SDK违规处理用户个人信息违规收集个人信息重点整治APP、SDK未告知用户收集个人信息的目的、方式、范围且未经用户同意，私自收集用户个人信息的行为场景1：APP未见向用户明示个人信息收集使用的目的、方式和范围，未经用户同意，存在收集IMEI、设备MAC地址和软件安装列表、通讯录和短信等信息的行为场景2：APP以隐私政策弹窗的形式向用户明示收集使用规则，未经用户同意，存在收集设备MAC地址、IMEI等信息的行为场景3：APP以隐私政策弹窗的形式向用户明示收集使用规则，但未见清晰明示APP收集软件列表、设备MAC地址等的目的方式范围，用户同意隐私政策后，存在收集软件列表、设备MAC地址的行为场景4(人工自查)：APP未见向用户明示SDK收集使用个人信息的目的、方式和范围，未经用户同意，SDK存在收集IMEI、设备MAC地址和软件安装列表、通讯录和短信等信息的行为场景5(人工自查)：APP向用户明示SDK的收集使用规则，未经用户同意，SDK存在收集IMEI、设备MAC地址和软件安装列表、通讯录和短信等信息的行为场景6(人工自查)：APP向用户明示SDK的收集使用规则，但未见清晰明示SDK收集设备MAC地址、软件安装列表等的目的方式范围，用户同意隐私政策后， SDK存在收集设备MAC地址、软件安装列表的行为场景7：APP在征求用户同意环节，未提供明确的同意或拒绝按钮，或者使用“好的”“我知道了”等词语场景8：APP在征求用户同意环节，设置为默认勾选 超范围收集个人信息重点整治APP、SDK非服务所必需或无合理应用场景，特别是在静默状态下或在后台运行时，超范围收集个人信息的行为场景1(人工自查)：APP存在收集IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息的行为，非服务所必需且无合理应用场景场景2：APP在运行时，未见向用户告知且未经用户同意，存在以特定频率（如每30s）读取收集IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息，非服务所必需且无合理应用场景，超出实现产品或服务的业务功能所必需的最低频率场景3(人工自查)：APP未见向用户明示SDK的收集使用规则，未经用户同意，SDK存在收集IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围场景4：APP在运行时，未见向用户告知且未经用户同意，存在每2秒读取一次IMEI、位置信息等，非服务所必需且无合理应用场景，超出实现产品或服务的业务功能所必需的最低频率场景5：APP未见向用户告知且未经用户同意，在后台行为时，存在收集 IMSI、设备序列号等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围场景6：APP未见向用户告知且未经用户同意，在静默状态下或在后台运行时，存在按照一定频次收集位置信息、IMEI、通讯录、短信、图片等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围场景7：APP未向用户明示SDK的收集使用规则，未经用户同意，SDK在静默状态下或在后台运行时，存在收集通讯录、短信、通话记录、相机等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围场景8：APP未向用户明示SDK的收集使用规则，未经用户同意，SDK在静默状态下或在后台运行时，存在按照一定频次收集位置信息、IMEI、通讯录、短信、图片等信息的行为，非服务所必需且无合理应用场景，超出与收集个人信息时所声称的目的具有直接或合理关联的范围违规使用个人信息重点整治APP、SDK未向用户告知且未经用户同意，私自使用个人信息，将用户个人信息用于其提供服务之外的目的，特别是私自向其他应用或服务器发送、共享用户个人信息的行为场景1：APP未向用户明示个人信息处理的目的、方式和范围，将IMEI、IMSI、设备MAC地址、软件安装列表、位置、联系人、通话记录、日历、短信、本机电话号码、图片、音视频等个人信息发送给第三方SDK等产品或服务场景2：APP未见向用户明示分享的第三方名称、目的及个人信息类型，用户同意隐私政策后，存在将IMEI/设备MAC地址/软件安装列表等个人信息发送给第三方SDK场景3(人工自查)：APP未向用户告知且未经用户同意，将设备识别信息、商品浏览记录、搜索使用习惯、软件安装列表等个人信息传输至APP服务器后，向第三方产品或服务提供其收集的个人信息 强制用户使用定向推送功能重点整治APP、SDK未以显著方式标示且未经用户同意，将收集到的用户搜索、浏览记录、使用习惯等个人信息，用于定向推送或广告精准营销，且未提供关闭该功能选项的行为场景1(人工自查)：APP的页面或功能存在定向推送功能，但隐私政策未见向用户告知，将收集的用户个人信息用于定向推送、精准营销场景2(人工自查)：若APP定向推送功能使用了第三方的个人信息来源，但隐私政策未见向用户告知场景3(人工自查)：APP隐私政策存在“根据您的偏好进行个性化推荐”等内容，明示存在定向推送功能，但页面中未见显著区分个性化推送服务，如标明“个性化展示”或“定推”等字样场景4(人工自查)：APP以隐私政策弹窗等形式明示存在定向推送功能，未提供退出或关闭个性化展示模式的选项，如拒绝接受定向推送信息，或停止、退出、关闭相应功能的机制设置障碍、频繁骚扰用户APP强制、频繁、过度索取权限重点整治APP安装、运行和使用相关功能时，非服务所必需或无合理应用场景下，用户拒绝相关授权申请后，应用自动退出或关闭的行为重点整治短时长、高频次，在用户明确拒绝权限申请后，频繁弹窗、反复申请与当前服务场景无关权限的行为重点整治未及时明确告知用户索取权限的目的和用途，提前申请超出其业务功能等权限的行为场景1：APP首次启动时，向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，应用退出或关闭（应用陷入弹窗循环，无法正常使用）场景2(人工自查)：APP运行时，未向用户告知申请权限的目的，向用户索取当前服务场景未使用到的通讯录、定位、短信、录音、相机、日历等权限，且用户拒绝授权后，应用退出或关闭相关功能，无法正常使用场景3(人工自查)：用户注册登录时，APP向用户索取电话、通讯录、定位、短信、录音、相机、存储、日历等权限，用户拒绝授权后，APP无法正常注册或登录场景4(人工自查)：APP运行时，向用户索取当前服务场景未使用到的电话、通讯录、定位、短信、录音、相机、存储、日历等权限，且用户拒绝授权后，应用退出或关闭（应用陷入弹窗循环，无法正常使用）场景5：APP运行时，在用户明确拒绝通讯录、定位、短信、录音、相机、日历等权限申请后，仍向用户频繁弹窗申请与当前服务场景无关的权限，影响用户正常使用场景6：APP在用户明确拒绝通讯录、定位、短信、录音、相机等权限申请后，重新运行时，仍向用户弹窗申请开启与当前服务场景无关的权限，影响用户正常使用场景7：APP首次打开或运行中，未见使用权限对应的相关功能或服务时，不应提前向用户弹窗申请开启通讯录、定位、短信、录音、相机、日历等权限场景8(人工自查)：APP未见提供相关业务功能或服务，不应申请通讯录、定位、短信、录音、相机、日历等权限 APP频繁自启动和关联启动重点整治APP未向用户告知且未经用户同意，或无合理的使用场景，频繁自启动或关联启动第三方APP的行为场景1：APP未向用户明示未经用户同意，且无合理的使用场景，存在频繁自启动或关联启动的行为场景2：APP虽然有向用户明示并经用户同意环节，但频繁自启动或关联启动发生在用户同意前场景3：APP非服务所必需或无合理应用场景，超范围频繁自启动或关联启动第三方APP欺骗误导用户方面欺骗误导用户下载APP通过“偷梁换柱”“移花接木”等方式欺骗误导用户下载APP，特别是具有分发功能的移动应用程序欺骗误导用户下载非用户所自愿下载APP的行为场景1：APP 广告页面、开屏广告、主屏等功能页面，无显著APP下载提示，点击即自动下载非用户所自愿下载APP场景2：APP 广告页面、开屏广告、主屏等功能页面，以“是否立即开始游戏”方式欺骗误导用户自动下载非用户所自愿下载APP场景3：APP 广告页面、开屏广告、主屏等功能页面，以“领取红包”方式欺骗误导用户自动下载非用户所自愿下载APP场景4：APP 广告页面、开屏广告、主屏等功能页面，点击“下载按钮“以外区域，自动下载非用户所自愿下载APP场景5(人工自查)：暂停下载非用户所自愿下载APP，关闭并重新运行本APP后，自动恢复下载被暂停的非用户所自愿下载的APP场景6(人工自查)：APP 广告页面、开屏广告、主屏等功能页面，通过设置关闭障碍等方式欺骗误导强迫下载非用户所自愿下载APP场景7(人工自查)：APP 广告页面、开屏广告、主屏等功能页面，下载的APP与向用户所作的宣传或者承诺不符欺骗误导用户提供个人信息行为表现：非服务所必需或无合理场景，通过积分、奖励、优惠等方式欺骗误导用户提供身份证号码以及个人生物特征信息的行为希望本文对你有所帮助~~如果对软件测试、接口测试、自动化测试、面试经验交流感兴趣可以私聊我或关注公众号“特斯汀软件测试”免费领取最新软件测试大厂面试资料和Python自动化、接口、框架搭建学习资料技术大牛解惑答疑，同行一起交流
（图片来源网络，侵删）
0 评论