Structure des applications Android

Une application Android est distribuée sous la forme d'un APK (paquet Android). Il s'agit en réalité d'une archive ZIP contenant le code compilé, les ressources et les métadonnées.

Puisqu'il s'agit d'un ZIP, il vous suffit de le décompresser pour en examiner le contenu, ce qui constitue la première étape d'un test d'intrusion mobile.

Un APK extrait contient :

• AndroidManifest.xml : configuration de l'application.
• classes.dex : bytecode compilé.
• res/ et resources.arsc : ressources.
• lib/ : bibliothèques natives.
• META-INF/ : informations de signature.

Le fichier AndroidManifest.xml déclare les composants, les autorisations et la configuration de l'application. Dans l'APK, il se présente sous forme de fichier XML binaire que les outils peuvent décoder.

C'est le fichier le plus important pour comprendre la surface d'attaque d'une application.

Le code source Java/Kotlin est compilé en bytecode DEX (Dalvik Executable) dans classes.dex. Les versions modernes d'Android l'exécutent via ART (Android Runtime).

Le DEX peut être reconverti en code lisible, ce qu'exploite l'analyse statique des APK.

Les applications Android sont constituées de quatre types de composants :

• Activités : écrans / interface utilisateur.
• Services : tâches en arrière-plan.
• Récepteurs de diffusion : répondent aux événements du système.
• Fournisseurs de contenu : partagent des données entre applications.

Un composant marqué android:exported="true" peut être appelé par d'autres applications. Si un tel composant effectue des actions sensibles sans vérifications, il constitue une surface d'attaque.

Les testeurs d'intrusion recherchent les activités, services et fournisseurs exportés qui divulguent des données ou effectuent des actions privilégiées.

Les applications demandent des autorisations dans le manifeste (par exemple INTERNET, READ_SMS, ACCESS_FINE_LOCATION).

Des autorisations trop larges peuvent indiquer un comportement risqué ou un accès excessif aux données. Des autorisations personnalisées peuvent également être mal configurées et permettre un accès non autorisé.

Android isole chaque application dans son propre bac à sable, avec un UID Linux unique. Par défaut, les applications ne peuvent pas lire les données des autres.

Des vulnérabilités apparaissent lorsque des applications affaiblissent cette séparation, par exemple avec des fichiers lisibles par tous ou des fournisseurs exposés.

Une application installée stocke ses données privées sous /data/data/<package>/ : bases de données, préférences partagées et fichiers.

Sur un appareil avec accès administrateur ou par l'intermédiaire de sauvegardes, un testeur d'intrusion examine ce répertoire à la recherche de secrets stockés de manière non sécurisée, ce qu'une leçon ultérieure approfondira.

Chaque APK est signé numériquement ; la signature se trouve dans META-INF/. Android la vérifie lors de l'installation et des mises à jour.

Si vous modifiez et recomprimez une application, vous devez la signer à nouveau ; c'est pourquoi les développeurs s'appuient sur la signature pour détecter les altérations.

La logique critique pour les performances ou obfusquée peut se trouver dans des bibliothèques natives (fichiers .so) sous lib/, compilées à partir de C/C++.

Elles ne se trouvent pas dans le DEX et nécessitent donc une analyse distincte avec des désassembleurs natifs. Les développeurs y dissimulent parfois des secrets, croyant à tort que le code natif est plus difficile à examiner.

Rappelez-vous quel attribut du manifeste expose un composant aux autres applications.

Vous comprenez maintenant la structure des applications Android :

• Un APK est un ZIP contenant AndroidManifest.xml, classes.dex, des ressources et les données de signature.
• Les applications utilisent quatre composants ; les composants exportés constituent une surface d'attaque.
• Les autorisations et le bac à sable propre à chaque application régissent l'accès ; les données privées se trouvent dans /data/data/.
• Les APK sont signés afin de détecter les altérations.

Ensuite, vous décompilerez un APK lors d'une analyse statique.