التحليل الساكن لملفات APK

يعني التحليل الساكن لملف APK فحص شيفرته وموارده من دون تشغيله. والهدف هو استعادة شيفرة تشبه المصدر ويمكن قراءتها من DEX المترجم.

يكشف ذلك الأسرار المضمّنة وأخطاء المنطق والسلوك الحقيقي للتطبيق.

تفك أداة apktool ترميز APK وتعيده إلى موارد مقروءة وإلى smali (صيغة مقروءة للبشر من شيفرة DEX الثانوية). كما تفك ترميز AndroidManifest.xml الثنائي.

استخدموها لقراءة البيان ولإعادة حزم التطبيقات المعدلة.

تُعد Smali لغة شبيهة بلغة التجميع لشيفرة Dalvik الثانوية. وهي مطولة، لكنها تتيح لكم إجراء تعديلات دقيقة، مثل تجاوز فحص بتغيير مقارنة.

يمكنكم تصحيح smali وإعادة بناء APK لتغيير سلوك التطبيق.

تزيل jadx تجميع DEX مباشرة إلى Java مقروءة. ويتيح إصدار الواجهة الرسومية، jadx-gui، تصفح الفئات والبحث عن السلاسل وتتبع استدعاءات الدوال.

وهي أسرع طريقة لفهم منطق التطبيق.

يحوّل مسار بديل DEX إلى JAR باستخدام dex2jar، ثم يفتحه في أداة إزالة تجميع Java مثل JD-GUI.

ينتج jadx عادةً مخرجات أنظف، لكن dex2jar مفيد عندما يواجه jadx صعوبات.

غالباً ما تحتوي الشيفرة التي أُزيل تجميعها على أسرار مضمّنة، مثل مفاتيح API والرموز ومفاتيح التشفير وعناوين URL للواجهات الخلفية.

ابحثوا في المصدر عن كلمات مفتاحية مثل password وsecret وapikey وhttp. يفترض المطورون خطأً أن الشيفرة المترجمة تخفي هذه القيم.

بعد فك ترميز البيان، تحققوا من:

• المكونات المصدّرة.
• android:debuggable="true".
• android:allowBackup="true" (يمكن استخراج البيانات عبر النسخ الاحتياطي).
• الأذونات الخطرة أو المخصصة.

يتحكم إعداد أمان الشبكة في سلوك TLS. ويؤدي الإعداد الذي يسمح بحركة المرور غير المشفرة أو يثق بسلطات الشهادات التي أضافها المستخدم إلى إضعاف أمان النقل.

وتجعل هذه الإعدادات اعتراض الاتصالات (وهو موضوع لاحق) أسهل بكثير.

تعمل MobSF (Mobile Security Framework) على أتمتة التحليل الساكن. ارفعوا ملف APK، وستعرض الأداة الأذونات والأسرار المضمّنة والإعدادات غير الآمنة ودرجة المخاطر.

وهي رائعة للفرز الأولي، مع أن المراجعة اليدوية لا تزال تكشف مشكلات أعمق.

بعد تصحيح smali، أعد بناء APK باستخدام apktool ثم أعد توقيعه (يرفض Android التطبيقات غير الموقعة). تتولى أدوات مثل apksigner أو uber-apk-signer عملية التوقيع.

تشكّل هذه العملية أساس اختبارات العبث والتعديلات أثناء التشغيل.

ابحث عن عوامل تصفية النوايا الخاصة بـ الروابط العميقة واستخدام WebView. يمكن للروابط العميقة التي أُسيء إعدادها تشغيل شاشات داخلية باستخدام بيانات يتحكم فيها المهاجم.

يمكن لـ WebViews التي تستخدم JavaScriptInterface أو تحمّل محتوى غير موثوق أن تعرّض التطبيق لهجمات الحقن وسرقة البيانات. وكلاهما من النتائج الشائعة في المراجعة الساكنة.

تذكّر الأداة التي تمنحك شفرة Java قابلة للقراءة مباشرةً من APK.

أصبحت الآن تفهم تحليل APK الساكن:

• استخدم apktool مع smali والبيان المفكك، واستخدم jadx للحصول على Java قابلة للقراءة.
• ابحث عن الأسرار المضمّنة مباشرةً وراجع البيان بحثًا عن علامات التصدير والتصحيح والنسخ الاحتياطي.
• تحقق من إعداد أمان الشبكة، واستخدم MobSF للفرز الآلي.
• صحّح smali، ثم أعد البناء وأعد التوقيع لاختبار العبث.

ستتعلّم بعد ذلك كيفية التلاعب بتطبيق قيد التشغيل باستخدام Frida.