بنية تطبيقات Android

يُوزع تطبيق Android على هيئة APK (حزمة Android). وهو في الحقيقة أرشيف ZIP يحتوي على الشيفرة المترجمة والموارد والبيانات الوصفية.

وبما أنه ملف ZIP، يمكنكم فك ضغطه ببساطة لفحص محتوياته، وهذه هي الخطوة الأولى في اختبار اختراق الأجهزة المحمولة.

يحتوي APK المستخرج على:

• AndroidManifest.xml: إعدادات التطبيق.
• classes.dex: الشيفرة الثانوية المترجمة.
• res/ وresources.arsc: الموارد.
• lib/: المكتبات الأصلية.
• META-INF/: معلومات التوقيع.

يعلن AndroidManifest.xml عن مكونات التطبيق وأذوناته وإعداداته. ويكون في APK بصيغة XML ثنائية يمكن للأدوات فك ترميزها.

وهو أهم ملف منفرد لفهم سطح الهجوم الخاص بالتطبيق.

تُترجم الشيفرة المصدرية بلغة Java/Kotlin إلى شيفرة ثانوية بصيغة DEX (Dalvik Executable) داخل classes.dex. وتشغّل إصدارات Android الحديثة هذه الشيفرة عبر ART (Android Runtime).

يمكن تحويل DEX مرة أخرى إلى شيفرة مقروءة، وهذا ما يستغله التحليل الساكن لملفات APK.

تُبنى تطبيقات Android من أربعة أنواع من المكونات:

• Activities: الشاشات / واجهة المستخدم.
• Services: العمل في الخلفية.
• Broadcast Receivers: الاستجابة لأحداث النظام.
• Content Providers: مشاركة البيانات بين التطبيقات.

يمكن استدعاء المكوّن الذي يحمل السمة android:exported="true" من تطبيقات أخرى. وإذا نفذ هذا المكوّن إجراءات حساسة من دون فحوصات، فإنه يمثل سطح هجوم.

يبحث مختبرو الاختراق عن الأنشطة والخدمات وموفري المحتوى المصدّرين الذين يسرّبون البيانات أو ينفذون إجراءات ذات امتيازات.

تطلب التطبيقات الأذونات في البيان (مثل INTERNET وREAD_SMS وACCESS_FINE_LOCATION).

تشير الأذونات الواسعة أكثر من اللازم إلى سلوك محفوف بالمخاطر أو وصول مفرط إلى البيانات. كما قد تُهيأ الأذونات المخصصة بشكل خاطئ للسماح بالوصول غير المصرح به.

يعزل Android كل تطبيق داخل صندوق حماية خاص به مع معرّف UID فريد لنظام Linux. ولا يمكن للتطبيقات، افتراضياً، قراءة بيانات بعضها بعضاً.

تنشأ الثغرات عندما تضعف التطبيقات هذا الحد الفاصل، مثل الملفات القابلة للقراءة من الجميع أو موفري المحتوى المكشوفين.

يخزن التطبيق المثبت بياناته الخاصة ضمن /data/data/<package>/: قواعد البيانات والتفضيلات المشتركة والملفات.

على جهاز مفعّل عليه الوصول الجذري أو عبر النسخ الاحتياطية، يفحص مختبر الاختراق هذا الدليل بحثاً عن أسرار مخزنة بشكل غير آمن، وهو ما يتناوله درس لاحق.

يُوقّع كل APK رقمياً؛ ويُحفظ التوقيع في META-INF/. ويتحقق Android منه عند التثبيت وعند إجراء التحديثات.

إذا عدّلتم تطبيقاً وأعدتم حزمته، فيجب إعادة توقيعه، ولهذا يعتمد المطورون على التوقيع لاكتشاف العبث.

قد يوجد المنطق الحرج للأداء أو المموه في المكتبات الأصلية (ملفات .so) ضمن lib/، وهي م compiled من C/C++.

لا توجد هذه المكتبات في DEX، ولذلك تتطلب تحليلاً منفصلاً باستخدام أدوات فك التجميع الأصلية. ويخفي المطورون أحياناً الأسرار هنا، اعتقاداً خاطئاً منهم بأن فحص الشيفرة الأصلية أصعب.

تذكروا سمة البيان التي تكشف المكوّن للتطبيقات الأخرى.

أصبحتم الآن تفهمون بنية تطبيقات Android:

• إن APK عبارة عن ZIP يحتوي على AndroidManifest.xml وclasses.dex والموارد وبيانات التوقيع.
• تستخدم التطبيقات أربعة مكونات؛ وتمثل المكونات المصدّرة سطح هجوم.
• تحكم الأذونات وصندوق الحماية الخاص بكل تطبيق في الوصول؛ وتوجد البيانات الخاصة في /data/data/.
• تُوقّع ملفات APK لاكتشاف العبث.

ستقومون بعد ذلك بإزالة تجميع APK في تحليل ساكن.