上周帮一个做电商的洞扫朋友看他们刚上线的App，凌晨两点扫出来一个越权漏洞：普通用户改个URL参数就能查到别人的描工订单详情，包括收货地址和手机号。洞扫他当时就懵了——这App上线前找过外包团队做过安全测试，描工报告上写着“未发现高危风险”。洞扫我问他用的描工什么工具，他说对方发来一个PDF，洞扫里面列了十几项“通过”。描工问题就出在这儿：很多团队把漏洞扫描当成走过场，洞扫工具跑一遍，描工报告一交，洞扫完事。描工真出事的洞扫时候才发现，扫出来的描工东西和实际能利用的东西，中间隔着一整个太平洋。洞扫
App漏洞扫描工具跟Web扫描器完全不是一回事。Web端你扔个Burp Suite或者AWVS上去，爬虫顺着链接跑一遍，SQL注入、XSS这些常见问题能揪出来不少。但App不一样。你得先把APK或者IPA文件拿到手，反编译、拆包、看Manifest、分析so库，还得考虑加固、混淆、证书绑定这些移动端特有的东西。我见过太多人拿扫描Web站点的思路去搞App，结果连基本的组件暴露都扫不出来。
市面上主流的工具我基本都试过。MobSF算是个绕不开的选择，开源、免费、上手快。静态分析能直接告诉你哪个Activity被export了、哪个BroadcastReceiver没加权限、硬编码的密钥藏在哪个文件里。但它的动态分析比较弱，跑起来经常卡在模拟器环境上。而且MobSF对加固后的App基本没辙，脱壳这步就得自己想办法。我一般拿它做第一轮快速筛查，十分钟出结果，先看看有没有明显的低级错误。
商业工具里，NowSecure和Oversecured算是比较能打的。Oversecured有个特点我挺喜欢：它不光告诉你“这里有个漏洞”，还会给你一条具体的利用路径。比如某个ContentProvider没有做权限校验，它会直接生成一段adb命令让你验证。这种“可验证”的扫描结果比那种只给个风险等级的报告有用得多。不过价格不便宜，小团队可能得掂量掂量。
说个真实的坑。有个金融类App，用某商业扫描器跑出来一个“WebView远程代码执行”的高危漏洞。开发团队吓得连夜改代码，把WebView的JS接口全禁了。结果第二天业务方炸了——他们的核心功能就是靠JS桥接调原生支付。后来我帮他们看，那个漏洞需要同时满足三个条件：WebView加载了外部URL、开启了JS接口、且目标站点被中间人劫持。他们的App只加载本地打包好的HTML，压根不碰外部链接。扫描器可不管这些上下文，它只看代码里有没有调用addJavascriptInterface。这就是典型的误报，但差点把正常业务搞死。
反过来，漏报更可怕。某社交App的扫描报告干干净净，我手动逆向后发现他们用了一个第三方的推送SDK，那个SDK在初始化时会监听一个全局的广播，任何App都能往这个广播里发伪造的消息，触发本地通知栏弹窗。扫描器没报，因为漏洞不在主工程代码里，在依赖库里。现在供应链攻击这么多，光扫自己的代码远远不够。
我的习惯是工具扫完必须手动验证。静态扫描出来的硬编码密钥，你得去试试这个密钥到底有没有权限访问对应的云服务。扫出来的导出组件，你得用adb或者drozer实际调一下，看能不能绕过权限校验。扫出来的SSL pinning缺失，你得用Frida或者Xposed去hook一下看看能不能中间人。工具给的是线索，不是结论。
还有一点，别指望扫描工具能覆盖业务逻辑漏洞。比如“修改订单金额为负数”、“绕过短信验证码次数限制”、“越权查看他人聊天记录”这些，工具根本看不懂你的业务。这些只能靠人。我一般会在扫描之前先跟开发聊半小时，搞清楚这个App的核心业务流程是什么、哪些接口涉及资金和敏感数据、权限模型是怎么设计的。带着这些信息再去看扫描结果，优先级排序会清晰很多。
最后说个数据。我统计过自己经手的三十多个App安全测试项目，纯靠工具扫出来的高危漏洞占比不到四成。剩下六成里，三成是工具报了但需要人工确认利用条件的，两成是工具完全没报、靠逆向和手工测试发现的，还有一成是业务逻辑问题。工具很重要，但别把它当救世主。它就是个筛子，筛完还得你自己一粒一粒捡。