Struktur Aplikasi Android

Aplikasi Android diedarkan sebagai APK (Pakej Android). Sebenarnya, ia ialah arkib ZIP yang mengandungi kod terkompil, sumber dan metadata.

Oleh sebab ia ialah ZIP, anda boleh menyahzipnya untuk memeriksa kandungannya, iaitu langkah pertama dalam ujian penembusan mudah alih.

APK yang diekstrak mengandungi:

• AndroidManifest.xml: konfigurasi aplikasi.
• classes.dex: kod bait terkompil.
• res/ dan resources.arsc: sumber.
• lib/: pustaka natif.
• META-INF/: maklumat penandatanganan.

AndroidManifest.xml mengisytiharkan komponen, keizinan dan konfigurasi aplikasi. Dalam APK, ia berbentuk XML binari yang boleh dinyahkod oleh alat.

Fail ini merupakan fail paling penting untuk memahami permukaan serangan aplikasi.

Sumber Java/Kotlin dikompil kepada kod bait DEX (Dalvik Executable) dalam classes.dex. Android moden menjalankannya melalui ART (Android Runtime).

DEX boleh ditukar kembali kepada kod yang lebih mudah dibaca, dan inilah yang dimanfaatkan oleh analisis statik APK.

Aplikasi Android dibina daripada empat jenis komponen:

• Aktiviti: skrin / UI.
• Perkhidmatan: kerja latar belakang.
• Penerima Siaran: bertindak balas terhadap peristiwa sistem.
• Penyedia Kandungan: berkongsi data antara aplikasi.

Komponen yang ditandai android:exported="true" boleh dipanggil oleh aplikasi lain. Jika komponen sedemikian melaksanakan tindakan sensitif tanpa pemeriksaan, ia menjadi permukaan serangan.

Penguji penembusan mencari aktiviti, perkhidmatan dan penyedia yang dieksport, yang membocorkan data atau melaksanakan tindakan berkeistimewaan.

Aplikasi meminta keizinan dalam manifest (contohnya INTERNET, READ_SMS, ACCESS_FINE_LOCATION).

Keizinan yang terlalu luas memberikan petunjuk tentang tingkah laku berisiko atau akses data berlebihan. Keizinan tersuai juga boleh dikonfigurasi dengan salah sehingga membenarkan akses tanpa kebenaran.

Android mengasingkan setiap aplikasi dalam kotak pasirnya sendiri dengan UID Linux yang unik. Secara lalai, aplikasi tidak boleh membaca data sesama sendiri.

Kerentanan berlaku apabila aplikasi melemahkan sempadan ini, seperti fail yang boleh dibaca semua pengguna atau penyedia yang terdedah.

Aplikasi yang dipasang menyimpan data peribadi di bawah /data/data/<package>/: pangkalan data, keutamaan dikongsi dan fail.

Pada peranti yang telah diakar atau melalui sandaran, penguji penembusan memeriksa direktori ini untuk mencari rahsia yang disimpan secara tidak selamat, seperti yang akan diterokai dalam pelajaran seterusnya.

Setiap APK ditandatangani secara digital; tandatangan itu berada dalam META-INF/. Android mengesahkannya semasa pemasangan dan kemas kini.

Jika anda mengubah suai dan membungkus semula aplikasi, anda mesti menandatanganinya semula. Oleh sebab itu, pembangun bergantung pada penandatanganan untuk mengesan pengubahan.

Logik yang penting untuk prestasi atau disamarkan mungkin berada dalam pustaka natif (fail .so) di bawah lib/, yang dikompil daripada C/C++.

Pustaka ini tidak terdapat dalam DEX, jadi ia memerlukan analisis berasingan menggunakan penyahhimpun natif. Pembangun kadangkala menyembunyikan rahsia di sini kerana tersilap menganggap kod natif lebih sukar diperiksa.

Kini anda memahami struktur aplikasi Android:

• APK ialah ZIP yang mengandungi AndroidManifest.xml, classes.dex, sumber dan data penandatanganan.
• Aplikasi menggunakan empat komponen; komponen yang dieksport ialah permukaan serangan.
• Keizinan dan kotak pasir setiap aplikasi mengawal akses; data peribadi berada dalam /data/data/.
• APK ditandatangani untuk mengesan pengubahan.

Seterusnya, anda akan menyahkompil APK dalam analisis statik.