APK 정적 분석

APK의 정적 분석은 앱을 실행하지 않고 코드와 리소스를 검사하는 것을 의미합니다. 목표는 컴파일된 DEX에서 읽을 수 있는 소스 코드와 유사한 코드를 복원하는 것입니다.

이를 통해 하드코딩된 비밀 정보, 논리적 결함, 앱의 실제 동작을 확인할 수 있습니다.

apktool은 APK를 읽을 수 있는 리소스와 smali(사람이 읽을 수 있는 DEX 바이트코드 형식)로 디코딩합니다. 또한 바이너리 AndroidManifest.xml도 디코딩합니다.

매니페스트를 읽고 수정한 앱을 다시 패키징할 때 사용하십시오.

Smali는 Dalvik 바이트코드를 위한 어셈블리와 유사한 언어입니다. 장황하지만 비교를 변경하여 검사 우회와 같은 정밀한 수정을 할 수 있습니다.

smali를 패치하고 APK를 다시 빌드하여 앱의 동작을 변경할 수 있습니다.

jadx는 DEX를 직접 읽을 수 있는 Java 코드로 디컴파일합니다. GUI 버전인 jadx-gui를 사용하면 클래스를 탐색하고 문자열을 검색하며 메서드 호출을 따라갈 수 있습니다.

앱의 논리를 이해하는 가장 빠른 방법입니다.

대안 파이프라인은 dex2jar를 사용하여 DEX를 JAR로 변환한 다음 JD-GUI와 같은 Java 디컴파일러에서 엽니다.

일반적으로 jadx가 더 깔끔한 결과를 생성하지만, jadx가 제대로 처리하지 못할 때는 dex2jar가 유용합니다.

디컴파일된 코드에는 API 키, 토큰, 암호화 키, 백엔드 URL과 같은 하드코딩된 비밀 정보가 포함되어 있는 경우가 많습니다.

소스에서 password, secret, apikey, http와 같은 키워드를 검색하십시오. 개발자는 컴파일된 코드가 이러한 정보를 숨겨 준다고 잘못 생각합니다.

매니페스트를 디코딩한 후 다음 항목을 확인하십시오.

• 내보낸 구성 요소
• android:debuggable="true"
• android:allowBackup="true"(백업을 통해 데이터를 추출할 수 있음)
• 위험한 권한 또는 사용자 지정 권한

네트워크 보안 구성은 TLS 동작을 제어합니다. 평문 트래픽을 허용하거나 사용자가 추가한 CA를 신뢰하는 구성은 전송 보안을 약화합니다.

이러한 설정이 있으면 가로채기가 훨씬 쉬워집니다(가로채기는 이후 주제에서 다룹니다).

MobSF(Mobile Security Framework)는 정적 분석을 자동화합니다. APK를 업로드하면 권한, 하드코딩된 비밀 정보, 안전하지 않은 설정, 위험 점수를 보고합니다.

초기 분류에 매우 유용하지만, 수동 검토를 통해 더 심층적인 문제를 발견할 수 있습니다.

smali를 패치한 후 apktool로 다시 빌드하고 APK에 다시 서명하십시오(서명되지 않은 앱은 Android에서 거부됩니다). apksigner나 uber-apk-signer 같은 도구가 서명을 처리합니다.

이 작업 흐름은 변조 테스트와 런타임 수정의 기반이 됩니다.

딥 링크 인텐트 필터와 WebView 사용 여부를 확인하십시오. 잘못 구성된 딥 링크는 공격자가 제어하는 데이터로 내부 화면을 실행할 수 있습니다.

JavaScriptInterface를 사용하는 WebView나 신뢰할 수 없는 콘텐츠를 불러오는 WebView는 앱을 주입 공격과 데이터 탈취에 노출할 수 있습니다. 둘 다 정적 검토에서 흔히 발견되는 문제입니다.

APK에서 읽을 수 있는 Java 코드를 직접 제공하는 도구가 무엇인지 떠올려 보십시오.

이제 정적 APK 분석을 이해하셨습니다.

• smali와 디코딩된 매니페스트에는 apktool을, 읽기 쉬운 Java 코드에는 jadx를 사용합니다.
• 하드코딩된 비밀 정보를 찾고, 매니페스트에서 내보내기, 디버깅 가능 여부, 백업 플래그를 검토합니다.
• Network Security Config를 확인하고, 자동화된 초기 분류에는 MobSF를 사용합니다.
• smali를 패치한 다음 다시 빌드하고 재서명하여 변조를 테스트합니다.

다음에는 Frida로 실행 중인 앱을 조작합니다.