Struktur Aplikasi Android

Aplikasi Android didistribusikan sebagai APK (Paket Android). Sebenarnya, APK adalah arsip ZIP yang berisi kode terkompilasi, sumber daya, dan metadata.

Karena merupakan ZIP, Anda cukup mengekstraknya untuk memeriksa isinya, yang merupakan langkah pertama dalam pengujian penetrasi seluler.

APK yang diekstrak berisi:

• AndroidManifest.xml: konfigurasi aplikasi.
• classes.dex: bytecode terkompilasi.
• res/ dan resources.arsc: sumber daya.
• lib/: pustaka native.
• META-INF/: informasi penandatanganan.

AndroidManifest.xml mendeklarasikan komponen, izin, dan konfigurasi aplikasi. Di dalam APK, berkas ini berbentuk XML biner yang dapat didekodekan oleh alat.

Ini adalah file terpenting untuk memahami permukaan serangan aplikasi.

Sumber Java/Kotlin dikompilasi menjadi bytecode DEX (Dalvik Executable) di dalam classes.dex. Android modern menjalankannya melalui ART (Android Runtime).

DEX dapat dikonversi kembali menjadi kode yang lebih mudah dibaca, dan inilah yang dimanfaatkan oleh analisis statis APK.

Aplikasi Android dibangun dari empat jenis komponen:

• Aktivitas: layar / antarmuka pengguna.
• Layanan: pekerjaan di latar belakang.
• Penerima Siaran: merespons peristiwa sistem.
• Penyedia Konten: berbagi data antaraplikasi.

Komponen yang ditandai android:exported="true" dapat dipanggil oleh aplikasi lain. Jika komponen tersebut melakukan tindakan sensitif tanpa pemeriksaan, komponen itu menjadi permukaan serangan.

Penguji penetrasi mencari aktivitas, layanan, dan penyedia yang diekspor, yang dapat membocorkan data atau melakukan tindakan berhak istimewa.

Aplikasi meminta izin dalam manifest (misalnya INTERNET, READ_SMS, ACCESS_FINE_LOCATION).

Izin yang terlalu luas dapat mengindikasikan perilaku berisiko atau akses data yang berlebihan. Izin khusus juga dapat salah dikonfigurasi sehingga memungkinkan akses tanpa wewenang.

Android mengisolasi setiap aplikasi dalam sandbox-nya sendiri dengan UID Linux yang unik. Secara bawaan, aplikasi tidak dapat membaca data aplikasi lain.

Kerentanan muncul saat aplikasi melemahkan batas ini, misalnya melalui file yang dapat dibaca semua orang atau penyedia yang terekspos.

Aplikasi yang terpasang menyimpan data pribadi di bawah /data/data/<package>/: basis data, preferensi bersama, dan file.

Pada perangkat yang telah di-root atau melalui cadangan, penguji penetrasi memeriksa direktori ini untuk mencari rahasia yang disimpan secara tidak aman, yang akan dibahas pada pelajaran selanjutnya.

Setiap APK ditandatangani secara digital; tanda tangan tersebut berada di META-INF/. Android memverifikasinya saat pemasangan dan pembaruan.

Jika Anda memodifikasi dan mengemas ulang aplikasi, Anda harus menandatanganinya kembali. Karena itulah pengembang mengandalkan penandatanganan untuk mendeteksi perubahan tanpa izin.

Logika yang penting bagi kinerja atau disamarkan mungkin berada dalam pustaka native (file .so) di bawah lib/, yang dikompilasi dari C/C++.

Pustaka ini tidak berada dalam DEX, sehingga memerlukan analisis terpisah dengan pembongkar kode native. Pengembang terkadang menyembunyikan rahasia di sini karena keliru menganggap kode native lebih sulit diperiksa.

Ingat kembali atribut manifest yang mengekspos komponen kepada aplikasi lain.

Sekarang Anda memahami struktur aplikasi Android:

• APK adalah ZIP yang memuat AndroidManifest.xml, classes.dex, sumber daya, dan data penandatanganan.
• Aplikasi menggunakan empat komponen; komponen yang diekspor merupakan permukaan serangan.
• Izin dan sandbox setiap aplikasi mengatur akses; data pribadi berada di /data/data/.
• APK ditandatangani untuk mendeteksi perubahan tanpa izin.

Selanjutnya, Anda akan mendekompilasi APK dalam analisis statis.