Statisk analyse af APK'er

Statisk analyse af en APK betyder, at du undersøger dens kode og ressourcer uden at køre den. Målet er at genskabe læsbar, kildekodelignende kode fra den kompilerede DEX.

Det afslører hårdkodede hemmeligheder, logiske fejl og appens faktiske adfærd.

apktool afkoder en APK tilbage til læsbare ressourcer og smali (en menneskeligt læsbar form af DEX-bytekode). Det afkoder også den binære AndroidManifest.xml.

Brug det til at læse manifestet og pakke ændrede apps om.

Smali er det assemblersproglignende sprog til Dalvik-bytekode. Det er ordrigt, men lader dig foretage præcise ændringer, f.eks. omgå en kontrol ved at ændre en sammenligning.

Du kan patche smali og genopbygge APK'en for at ændre appens adfærd.

jadx dekompilerer DEX direkte til læsbar Java. GUI-versionen, jadx-gui, lader dig gennemse klasser, søge efter strenge og følge metodekald.

Det er den hurtigste måde at forstå en apps logik på.

En alternativ arbejdsgang konverterer DEX til en JAR med dex2jar og åbner den derefter i en Java-decompiler som JD-GUI.

jadx giver normalt et renere output, men dex2jar er nyttigt, når jadx har problemer.

Dekompileret kode indeholder ofte hårdkodede hemmeligheder: API-nøgler, adgangstokens, krypteringsnøgler og URL'er til backend-systemer.

Søg i kildekoden efter nøgleord som password, secret, apikey og http. Udviklere antager fejlagtigt, at kompileret kode skjuler disse.

Når manifestet er afkodet, skal du kontrollere:

• Eksporterede komponenter.
• android:debuggable="true".
• android:allowBackup="true" (data kan udtrækkes via en sikkerhedskopi).
• Farlige eller brugerdefinerede tilladelser.

Netværkssikkerhedskonfigurationen styrer TLS-adfærden. En konfiguration, der tillader ukrypteret trafik eller har tillid til brugerinstallerede CA'er, svækker transportsikkerheden.

Sådanne indstillinger gør aflytning (et senere emne) langt lettere.

MobSF (Mobile Security Framework) automatiserer statisk analyse. Upload en APK, så rapporterer det tilladelser, hårdkodede hemmeligheder, usikre indstillinger og en risikoscore.

Det er fremragende til en indledende vurdering, selvom en manuel gennemgang stadig finder dybere problemer.

Efter du har patchet smali, skal du genopbygge med apktool og signere APK-filen igen (Android afviser apps uden signatur). Værktøjer som apksigner eller uber-apk-signer håndterer signeringen.

Denne arbejdsgang danner grundlag for tests af manipulering og ændringer under kørsel.

Se efter intent-filtre for deep links og brug af WebView. Forkert konfigurerede deep links kan starte interne skærmbilleder med data, som en angriber kontrollerer.

WebViews med JavaScriptInterface eller WebViews, der indlæser indhold, du ikke har tillid til, kan udsætte appen for injektion og datatyveri. Begge dele er almindelige fund ved statisk gennemgang.

Du forstår nu statisk APK-analyse:

• Brug apktool til smali og det afkodede manifest og jadx til læsbar Java.
• Led efter hardkodede hemmeligheder, og gennemgå manifestet for flag, der angiver eksporterede komponenter, fejlfinding og sikkerhedskopiering.
• Kontrollér Network Security Config, og brug MobSF til automatiseret indledende analyse.
• Patch smali, og genopbyg og signér igen for at teste manipulering.

Dernæst skal du manipulere en app, der kører, med Frida.