M1-平臺使用不當

這個類別包括平臺功能的濫用，或未能使用平臺的安全控制。它可能包括 Android 的意圖（ intent）、 平臺權限、 TouchID 的誤用、 密鑰鏈 （ KeyChain）、或是移動操作系統中的其他一些安全控制。有幾種方式使移動應 用程序能受到這類風險。

M2-不安全的數據存儲

這個新的類別是《 2014 年版十大移動安全威脅》中 M2 和 M4 的組合。這個類別 包括不安全的數據存儲和非故意的數據泄漏。

M3-不安全的通信

這個類別包括不健全的握手通信過程、 SSL 版本的不正確使用、脆弱協議、敏 感信息的明文傳輸，等等。

M4-不安全的身份驗證

這個類別包括對終端用戶身份驗證或壞的會話管理的意見。這可以包括：

M5-加密不足

代碼使用加密技術對敏感信息資產進行加密。然而，加密技術的應用在某種程 度上是不足的。需要注意的是，任何與 TLS 或 SSL 有關的內容調整至 M3 中。此 外，如果應用程序在它應當使用加密技術時而沒有成功使用，該類問題可能屬 于 M2。本類別是在嘗試使用加密技術時，卻又沒有成功使用的問題。 M6-不安全的授權 6 / 22 這個類別包括任何失敗的授權行為（例如：在客戶端的授權決策、強迫瀏覽 等。）。它有別于身份驗證問題（例如：設備注冊、用戶標識等）。 如果應用程序在需要的時候沒有驗證用戶的身份 (例如：當訪問要求需經過身 份驗證和授予權限時，授予匿名用戶訪問某些資源或服務的權限)，那就是一起 身份驗證失敗事件，而不是授權失敗事件。

M7-客戶端代碼質量問題

這個類別曾經是“通過不可信的輸入做出安全決定” ，是我們較少使用的類別 之一。這將包括全部的移動客戶端代碼級別開發問題。這不同于服務器端的編 碼錯誤。本類別包括例如緩沖區溢出、 字符串格式漏洞以及其他不同類型的代 碼級錯誤，而這些錯誤的解決方法是重寫在移動設備中運行的某些代碼。

M8-代碼篡改

本類別包括二進制修補、 本地資源修改、 方法鉤用、方法調整和動態內存修 改。 一旦應用程序交付至移動設備，代碼和數據資源就都存放在那里。攻擊者要么 可以直接修改代碼、動態修改內存中的內容、更改或替換應用程序使用的系統 API，要么可以修改應用程序中的數據和資源。這可以為攻擊者提供顛覆本軟件 用戶的使用預期或是獲得金錢利益的直接方法。

M9-逆向工程

本類別包含對核心二進制代碼的分析，以確定它的源代碼、 庫文件、 算法和 其他資產。比如： IDA PRo、 Hopper、 otool 和其他二進制檢驗工具，使攻擊 者能洞察到應用程序內部的工作原理。這可用于在應用程序中發現其他漏洞， 并可揭露有關后端服務器、加密常數、密碼以及知識產權的信息。

M10-無關的功能

通常，開發人員不會打算將隱藏地后門程序功能或其他內部開發安全控件發布 到生產環境中。例如：開發人員可能在一個混合應用程序中無意包含了一個作 為注釋的密碼。另一個例子包括在測試階段禁用了雙因子身份驗證。