企业官网建设流程全解析

• 文档
• 教程
• 网络安全

导读

本文以 OWASP Mobile Application Security Testing Guide（MASTG，移动应用安全测试指南）的开篇《Foreword》为主线，梳理这本开源安全手册的诞生背景、创作理念、开放协作模式，并结合当前仓库的实际结构，说明 MASTG 与 MASVS、MASWE 的关系，以及读者应如何按章节导航、查阅测试用例与实战资源。读完本文，你将理解 MASTG 的定位与设计哲学，并掌握从知识条目、测试用例、技术方法到演示与工具库的完整检索路径。

MASTG 是一本什么样的书

《Foreword》开篇就直白地告诉读者：欢迎来到 OWASP Mobile Application Security Testing Guide，请自由探索现有内容，但请注意——这些内容可能随时变化。原因很现实：iOS 和 Android 每次大版本（甚至小版本）发布都会引入新的 API 和最佳实践，而新的漏洞每天都在被发现。这也决定了 MASTG 不是一本静态的纸质书，而是一个持续演进的活文档。

从仓库的根 README 可以确认它的官方定位：

MASTG 是一本覆盖移动应用安全测试与逆向工程的综合性手册，它描述了用于验证 OWASP Mobile Security Weakness Enumeration（MASWE，移动安全弱点枚举）弱点项的技术流程，这些弱点项与 OWASP Mobile Application Verification Standard（MASVS，移动应用验证标准）中列出的控制项一一对齐。

在 OWASP MAS 旗舰项目体系中，三者构成一条清晰的链路：MASVS（标准/要求）→ MASWE（弱点枚举）→ MASTG（测试指南/技术流程）。MASTG 是整个链路的落地执行层——MASVS 定义"应该做到什么"，MASTG 给出"具体怎么测、怎么验证"。

起源：2017 年 OWASP Security Summit 的一场"非典型"写作实验

《Foreword》用一段颇具故事性的文字记录了 MASTG 的诞生：2017 年夏天的一个美好日子里，大约 7 位年轻男性、1 位女性，以及大约 3 只松鼠，在 OWASP Security Summit 2017 期间相聚于 Woburn Forest 的一座别墅。颇具讽刺意味的是，这场活动恰好发生在 Bletchley Park 附近——那里曾是伟大的艾伦·图灵（Alan Turing）的居住和工作地。在接下来的五天里，这群人不仅讨论了移动应用安全，还以"proof-of-concept"（概念验证）的方式，尝试了一种非同寻常的安全书籍写作模式。

正如《Foreword》自谦所言："或者这么说可能有点过头了，但至少他们产出了一本不寻常安全书的原型。"MASTG 由此被定义为一个开放、敏捷、众包（crowd-sourced）的项目，凝聚了来自世界各地数十位作者和审阅者的贡献。

值得一提的是，这份开篇中还有一段奇特的"松鼠"词条注释（squirrel，松鼠科啮齿动物），这并非笔误，而是对那个夏天聚会现场的真实呼应——它与正文共同构成了 MASTG 独特的叙事风格：专业但不刻板，严谨但不乏趣味。

为什么这不是一本"常规"的安全书

《Foreword》明确列出了它与常规安全书籍的刻意不同：

• 不罗列炫目的数据：开篇不会列举一堆统计数字来证明移动设备在当今时代的重要性——因为这并非 MASTG 的价值所在；
• 不贩卖焦虑：不解释移动应用安全"有多糟"、为什么"迫切需要"这样一本书；
• 不写煽情致谢：作者们不会像传统书籍那样感谢"没有 TA 就没有这本书"的家人伴侣。

这种反套路设计背后是一种务实的态度：MASTG 的读者是已经在路上的安全从业者、开发者与测试者，他们需要的不是被说服，而是可操作的技术内容。

第一条规则：不要只是照做

《Foreword》向读者传递了 MASTG 最重要的一条"规则"：

MASTG 的第一条规则是：不要只是照着 MASTG 做。

这句话的完整语境是：移动应用安全的真正卓越，要求对移动操作系统、编程、网络安全、密码学等有深入理解，而书中的许多主题只能点到为止。因此作者鼓励读者不要止步于安全测试——自己写 App、自己编译内核、剖析移动恶意软件、搞懂事物运转的底层原理。

这条规则实际上定义了 MASTG 的方法论定位：它是一份"测试基线"（baseline），而非"终极答案"。正如总览章节所说明的，MASVS 需求可用于应用规划与架构设计阶段，而清单与测试指南则可作为手工安全测试的基线，或作为开发过程中自动化安全测试的模板。

开放协作模式：反馈、贡献与"提一个 PR"

MASTG 从第一天起就是众包产物，因此《Foreword》明确邀请读者参与：

• 有反馈或建议？在 GitHub 上创建 issue，或在 Slack 上联系项目组；
• 想贡献内容？参考仓库 README 中的说明开始。

在仓库中可以看到这种协作模式已经沉淀为具体的目录结构：知识条目（knowledge）按 Android / iOS / 通用三套体系组织 MASVS 各分类的深度知识；测试用例（tests）与测试用例（beta 版）承载逐条可执行的验证步骤；技术方法（techniques）收录逆向、动态插桩等具体手法；演示（demos）则提供可复现的实验环境——例如 MASTG-DEMO-0091 这样的演示条目，通常包含run.sh运行脚本、AndroidManifest.xml清单、核心源码（如MastgTest.kt）以及output.txt预期输出，让测试者能端到端复现某个安全场景。

这种"知识 + 测试 + 演示"三位一体的结构，正是 MASTG 社区对"完整贡献"的默认标准：一份实质性的 PR 应包含完整的 Weakness（弱点）+ Tests（测试）+ Demos（演示）集合。

手册的结构与导航

结合文档目录（SUMMARY）与首页（index），MASTG 的主体内容分为三大测试指南，外加若干支撑性章节：

三大测试指南

1. 通用测试指南：从移动应用分类学和移动应用安全测试方法论出发，覆盖与操作系统无关的测试用例，包括身份认证与会话管理、网络通信、密码学、代码质量、篡改与逆向工程以及用户隐私保护；
2. Android 测试指南：覆盖 Android 平台的安全基础、数据存储、加密 API、本地认证、网络通信、平台交互、代码质量与构建配置，以及反逆向防御；
3. iOS 测试指南：与 Android 部分一一对应，覆盖 iOS 平台的同等主题，包括反逆向防御。

支撑性章节与资源

• Frontispiece（卷首）：介绍 MASTG 项目本身、作者与合著者；
• MASVS/MASTG 采纳情况：记录 Google（通过 App Defense Alliance 与 MASA 计划）、CREST、NIST、BSI、ioXt 等机构对 MASVS/MASTG 的采纳与背书；
• 致谢（Acknowledgements）：说明"MAS Advocate"贡献者机制的申请流程、最低月度贡献要求与免责声明；
• 建议阅读（Suggested Reading）：附录延伸资料。

在仓库层面，与文档章节对应的是机器可读的资产目录：rules/目录下存放了一批 YAML 格式的可执行规则（例如 mastg-android-debuggable-flag.yml、mastg-android-root-detection.yaml），用于将测试点固化为可扫描的检测规则；src/scripts/下则有yaml_to_excel.py、combine_data_for_checklist.py等脚本，用于把规则与测试数据组装成 Excel 清单。这印证了《总览》章节的说法——MASTG 既可支撑人工渗透测试，也可作为自动化安全测试的模板与数据源。

动手练习资源

除了正文，《Foreword》所倡导的"不要只是照做"在仓库中也有对应载体：

• UnCrackable 挑战应用（Crackmes）：一套面向 Android 与 iOS 的逆向工程挑战，被 MASTG 全文用作示例，你也可以纯粹为了乐趣去攻破它们——例如 Android 侧的 Level_01～Level_04 与 License_01（含validate校验器）、iOS 侧的 UnCrackable-Level1.ipa 与 UnCrackable-Level2.ipa；
• 示例应用（apps）：apps/目录（如 MASTG-APP-0001）登记了被用于测试的参考应用；
• 最佳实践（best-practices）：best-practices/目录收录了 70 余条可引用的安全最佳实践条目（如 MASTG-BEST-0001）。

结语：一本需要读者"继续写下去"的书

《Foreword》的收尾呼应了整本书的众包基因："随着你不断学到新东西，请考虑亲自为 MASTG 做出贡献！或者，就像他们说的——'Do a pull request'。"

MASTG 的价值并不在于它是一份"权威定稿"，而在于它是一套由全球社区持续维护、与移动平台演进保持同步的活文档：以 MASVS 的要求为骨架，以 MASWE 的弱点为索引，以可执行的测试、演示与工具为血肉。对于安全测试者，它是开箱即用的测试基线；对于开发者，它是理解移动平台安全机制的学习路径；对于研究者，它是一个值得长期跟踪甚至亲身参与的开源项目。正如开篇所言：内容随时会变——而这恰恰是它最大的优点。

• 文档
• 教程
• 网络安全