앱 리버스 엔지니어링

역공학은 완성된 앱을 분해하여 내부 작동 방식을 이해하는 것입니다.

공격자는 역공학을 통해 비밀을 찾고, 검사를 우회하며, 취약점을 발견합니다.

앱은 패키지로 배포됩니다. Android에서는 APK, iOS에서는 IPA를 사용합니다.

이 패키지는 기본적으로 공격자가 압축을 풀어 탐색할 수 있는 보관 파일입니다.

정적 분석은 앱을 실행하지 않고 검사하는 것을 의미합니다.

공격자는 패키지의 압축을 풀고 파일, 리소스와 코드를 읽어 구조와 로직을 파악합니다.

도구를 사용하면 컴파일된 코드를 다시 읽을 수 있는 형태로 바꿀 수 있습니다.

Android에서는 jadx 같은 도구가 바이트코드를 Java와 유사한 소스 코드로 변환하여 앱의 동작 방식을 보여 줍니다.

공격자가 가장 먼저 찾는 것 중 하나는 코드에 직접 포함된 비밀입니다.

코드에 남겨 둔 API 키나 URL은 디컴파일하면 쉽게 발견되므로, 앱 안에 비밀을 숨기는 방법에 의존하지 마세요.

동적 분석은 앱이 실행되는 동안 앱을 관찰합니다.

공격자는 네트워크 트래픽, 메모리와 함수 호출을 관찰하여 정적인 코드뿐 아니라 실제 값과 동작을 확인합니다.

Frida 같은 도구를 사용하면 공격자가 실행 중인 앱에 후킹하여 동작을 즉석에서 변경할 수 있습니다.

공격자는 보안 검사를 건너뛰거나 비밀 값이 사용되는 순간 그 값을 읽을 수 있습니다.

앱을 이해한 공격자는 앱을 변조할 수 있습니다.

코드를 수정하고 다시 패키징한 뒤, 크랙되었거나 트로이 목마가 삽입된 버전을 다른 사용자에게 배포할 수 있습니다.

난독화는 코드를 읽기 어렵게 만들기 위해 이름을 바꾸고 뒤섞는 작업입니다.

난독화가 역공학을 불가능하게 만들지는 않지만, 공격자의 속도를 늦추고 필요한 노력을 늘릴 수 있습니다.

앱은 무결성 검사를 사용해 변조되었는지 확인하고, 루팅되었거나 탈옥된 기기를 감지할 수 있습니다.

변조가 발견되면 앱은 민감한 기능의 실행을 거부할 수 있습니다.

핵심 교훈은 클라이언트가 역공학될 수 있다고 가정하는 것입니다.

공격자가 통제할 수 없는 서버에 비밀을 보관하고 중요한 결정을 서버에서 내리도록 하십시오.

모바일 앱의 보안을 설계할 때 가장 안전한 가정은 무엇입니까?

공격자는 정적 및 동적 분석, 디컴파일러, Frida와 같은 후킹 도구를 사용해 앱을 역공학하고 비밀을 찾거나 변조합니다.

난독화와 무결성 검사를 사용해 공격을 지연시키되, 궁극적으로는 클라이언트가 아니라 서버를 믿으십시오.