Sky Prioritize Yourself

演示通过代理拦截 iOS Passbook 的 .pkpass 文件（本质是 zip 包，含 pass.json 与签名），修改优惠券或礼品卡数据后重新部署到设备，暴露 Pass 凭证防护薄弱、易被篡改冒用的问题。

Bishop Fox 演示如何绕过 .NET MAUI 的平台打包机制，从 Android 与 iOS 应用中提取可读的 C# 程序集，并借助 mauidll 工具分析共享业务逻辑中反复出现的典型漏洞模式：逆向一份共享程序集即可同时攻破双平台应用。

总结 2014 年移动应用渗透测试的十大高危发现与趋势：跨平台框架与 MDM 使用增加、证书固定更普及，但后端 Web 服务的 SQL 注入等问题依旧突出，移动端并不比传统厚应用安全。

移动平台承载着用户最私密的数据，安全却常被事后才考虑。NetSPI 提供一套移动应用威胁建模框架，支持在设计阶段或对既有应用开展威胁评估，在渗透测试暴露问题前发现薄弱环节。

概览 iOS 应用逆向的实用路径：用 Cycript、class-dump-z 对 ipa 做类转储获取方法名，借助 MobileSubstrate 钩住并替换 Objective-C 方法，iNalyzer、Snoop-it 等工具可显著加速整个分析过程。

梳理 MDM 方案检测 Android 设备 Root 状态的常用手法：检查特定软件包、文件、目录权限与命令输出，例如 BUILD 标签中的 test-keys、OTA 证书缺失、su 二进制等；实测环境为已 Root 的 Nexus 4（Android 4.2.2）。