Analiza statyczna plików APK

Analiza statyczna pliku APK polega na badaniu jego kodu i zasobów bez uruchamiania go. Celem jest odzyskanie kodu przypominającego czytelny kod źródłowy ze skompilowanego DEX.

Ujawnia to zaszyte na stałe sekrety, błędy logiczne i rzeczywiste zachowanie aplikacji.

apktool dekoduje plik APK do postaci czytelnych zasobów i kodu smali (czytelnej dla człowieka postaci kodu bajtowego DEX). Dekoduje również binarny plik AndroidManifest.xml.

Można go użyć do odczytu manifestu i ponownego pakowania zmodyfikowanych aplikacji.

Smali to język przypominający asembler dla kodu bajtowego Dalvik. Jest rozwlekły, ale pozwala precyzyjnie edytować kod, na przykład ominąć kontrolę przez zmianę porównania.

Można zmodyfikować kod smali i ponownie zbudować plik APK, aby zmienić zachowanie aplikacji.

jadx dekompiluje DEX bezpośrednio do czytelnego kodu Java. Wersja z interfejsem graficznym, jadx-gui, umożliwia przeglądanie klas, wyszukiwanie napisów i śledzenie wywołań metod.

To najszybszy sposób na zrozumienie logiki aplikacji.

Alternatywny proces konwertuje DEX do pliku JAR za pomocą dex2jar, a następnie otwiera go w dekompilatorze Javy, takim jak JD-GUI.

jadx zwykle tworzy czytelniejszy wynik, ale dex2jar jest przydatny, gdy jadx ma trudności z analizą.

Zdekompilowany kod często zawiera zaszyte na stałe sekrety: klucze API, tokeny, klucze szyfrujące i adresy URL backendu.

Należy przeszukać kod źródłowy pod kątem słów kluczowych, takich jak password, secret, apikey i http. Deweloperzy błędnie zakładają, że skompilowany kod ukrywa te dane.

Po zdekodowaniu manifestu należy sprawdzić:

• Eksportowane komponenty.
• android:debuggable="true".
• android:allowBackup="true" (dane można wyodrębnić za pomocą kopii zapasowej).
• Niebezpieczne lub niestandardowe uprawnienia.

Konfiguracja bezpieczeństwa sieci określa działanie TLS. Konfiguracja zezwalająca na ruch tekstowy lub ufająca certyfikatom CA dodanym przez użytkownika osłabia bezpieczeństwo transportu.

Takie ustawienia znacznie ułatwiają przechwytywanie ruchu, któremu poświęcony jest późniejszy temat.

MobSF (Mobile Security Framework) automatyzuje analizę statyczną. Po przesłaniu pliku APK raportuje uprawnienia, zaszyte na stałe sekrety, niebezpieczne ustawienia oraz ocenę ryzyka.

Świetnie nadaje się do wstępnej selekcji, choć ręczny przegląd nadal pozwala wykryć głębiej ukryte problemy.

Po zmodyfikowaniu kodu smali przebuduj aplikację za pomocą apktool i podpisz ją ponownie (Android odrzuca niepodpisane aplikacje). Narzędzia takie jak apksigner lub uber-apk-signer obsługują podpisywanie.

Ten proces stanowi podstawę testów modyfikacji oraz zmian w czasie działania.

Poszukaj filtrów intencji deep link oraz użycia WebView. Błędnie skonfigurowane deep linki mogą otwierać wewnętrzne ekrany z danymi kontrolowanymi przez atakującego.

WebView z interfejsem JavaScriptInterface lub ładowaniem niezaufanych treści może narazić aplikację na wstrzyknięcie kodu i kradzież danych. Oba problemy są częstymi ustaleniami podczas analizy statycznej.

Proszę przypomnieć sobie, które narzędzie udostępnia czytelny kod Java bezpośrednio z pliku APK.

Rozumieją już Państwo analizę statyczną plików APK:

• Używaj apktool do kodu smali i zdekodowanego manifestu, a jadx do czytelnego kodu Java.
• Wyszukuj sekrety zapisane na stałe w kodzie i sprawdzaj w manifeście flagi exported, debuggable oraz backup.
• Sprawdzaj Network Security Config; używaj MobSF do automatycznego wstępnego rozpoznania.
• Modyfikuj kod smali, a następnie przebuduj i podpisz ponownie, aby testować modyfikacje.

W następnej części zmodyfikują Państwo działającą aplikację za pomocą Frida.