Statische APK-Analyse

Die statische Analyse einer APK bedeutet, ihren Code und ihre Ressourcen zu untersuchen, ohne sie auszuführen. Ziel ist es, aus dem kompilierten DEX lesbaren, quelltextähnlichen Code wiederherzustellen.

Dadurch werden fest codierte Geheimnisse, Logikfehler und das tatsächliche Verhalten der App sichtbar.

apktool dekodiert eine APK zurück in lesbare Ressourcen und smali, eine menschenlesbare Form des DEX-Bytecodes. Außerdem dekodiert es die binäre Datei AndroidManifest.xml.

Verwenden Sie es, um das Manifest zu lesen und geänderte Apps neu zu verpacken.

Smali ist die assemblyähnliche Sprache für Dalvik-Bytecode. Sie ist ausführlich, ermöglicht aber präzise Änderungen, etwa das Umgehen einer Prüfung durch Ändern eines Vergleichs.

Sie können Smali patchen und die APK neu erstellen, um das Verhalten der App zu ändern.

jadx dekompiliert DEX direkt in lesbaren Java-Code. Mit der GUI-Version jadx-gui können Sie Klassen durchsuchen, nach Zeichenketten suchen und Methodenaufrufe verfolgen.

Dies ist der schnellste Weg, die Logik einer App zu verstehen.

Eine alternative Verarbeitungskette konvertiert DEX mit dex2jar in eine JAR-Datei und öffnet sie anschließend in einem Java-Dekompilierer wie JD-GUI.

jadx erzeugt normalerweise eine sauberere Ausgabe, aber dex2jar ist hilfreich, wenn jadx Schwierigkeiten hat.

Dekompilierter Code enthält häufig fest codierte Geheimnisse: API-Schlüssel, Tokens, Verschlüsselungsschlüssel und Backend-URLs.

Durchsuchen Sie den Quellcode nach Schlüsselwörtern wie password, secret, apikey und http. Entwickler gehen fälschlicherweise davon aus, dass kompilierter Code diese Informationen verbirgt.

Überprüfen Sie nach dem Dekodieren des Manifests Folgendes:

• Exportierte Komponenten.
• android:debuggable="true".
• android:allowBackup="true" (Daten können über eine Sicherung extrahiert werden).
• Gefährliche oder benutzerdefinierte Berechtigungen.

Die Network Security Configuration steuert das TLS-Verhalten. Eine Konfiguration, die Klartextverkehr erlaubt oder benutzerseitig hinzugefügten CAs vertraut, schwächt die Transportsicherheit.

Solche Einstellungen erleichtern das Abfangen von Daten (ein späteres Thema) erheblich.

MobSF (Mobile Security Framework) automatisiert die statische Analyse. Laden Sie eine APK hoch, und das Werkzeug meldet Berechtigungen, fest codierte Geheimnisse, unsichere Einstellungen und eine Risikobewertung.

Für eine erste Einschätzung ist es hervorragend geeignet, doch bei einer manuellen Überprüfung werden weiterhin tiefgreifendere Probleme gefunden.

Nach dem Patchen von Smali erstellen Sie die APK mit apktool neu und signieren sie erneut (Android verweigert die Installation unsignierter Apps). Tools wie apksigner oder uber-apk-signer übernehmen das Signieren.

Dieser Workflow bildet die Grundlage für Manipulationstests und Änderungen zur Laufzeit.

Suchen Sie nach Intent-Filtern für Deep Links und nach der Verwendung von WebView. Fehlkonfigurierte Deep Links können interne Bildschirme mit von Angreifern kontrollierten Daten öffnen.

WebViews mit JavaScriptInterface oder WebViews, die nicht vertrauenswürdige Inhalte laden, können die App für Injektionen und Datendiebstahl anfällig machen. Beides sind häufige Befunde bei statischen Prüfungen.

Sie verstehen nun die statische APK-Analyse:

• Verwenden Sie apktool für Smali und das dekodierte Manifest sowie jadx für lesbaren Java-Code.
• Suchen Sie nach fest codierten Geheimnissen und prüfen Sie das Manifest auf Export-, Debug- und Backup-Flags.
• Prüfen Sie die Network Security Config; verwenden Sie MobSF für eine automatisierte Ersteinschätzung.
• Patchen Sie Smali und führen Sie anschließend einen Neuaufbau und eine erneute Signierung durch, um Manipulationen zu testen.

Als Nächstes manipulieren Sie eine laufende App mit Frida.