Статический анализ APK

Статический анализ APK означает изучение его кода и ресурсов без запуска. Цель — восстановить читаемый код, похожий на исходный, из скомпилированного DEX.

Это позволяет обнаружить встроенные секреты, ошибки в логике и фактическое поведение приложения.

apktool декодирует APK, восстанавливая читаемые ресурсы и smali — удобную для чтения форму байткода DEX. Он также декодирует двоичный AndroidManifest.xml.

Используйте его для чтения манифеста и повторной упаковки изменённых приложений.

Smali — язык, похожий на ассемблер, для байткода Dalvik. Он многословен, но позволяет вносить точные изменения, например обходить проверку, изменив сравнение.

Можно исправить smali и пересобрать APK, чтобы изменить поведение приложения.

jadx напрямую декомпилирует DEX в читаемый Java-код. Версия с GUI, jadx-gui, позволяет просматривать классы, искать строки и отслеживать вызовы методов.

Это самый быстрый способ понять логику приложения.

Альтернативный конвейер преобразует DEX в JAR с помощью dex2jar, а затем открывает его в декомпиляторе Java, например в JD-GUI.

Обычно jadx выдаёт более чистый результат, но dex2jar полезен, когда у jadx возникают трудности.

Декомпилированный код часто содержит встроенные секреты: ключи API, токены, ключи шифрования и URL-адреса серверной части.

Ищите в исходном коде такие ключевые слова, как password, secret, apikey и http. Разработчики ошибочно полагают, что скомпилированный код скрывает эти данные.

После декодирования манифеста проверьте:

• Экспортируемые компоненты.
• android:debuggable="true".
• android:allowBackup="true" (данные можно извлечь через резервную копию).
• Опасные или пользовательские разрешения.

Конфигурация безопасности сети управляет поведением TLS. Конфигурация, разрешающая незашифрованный трафик или доверяющая добавленным пользователем центрам сертификации, ослабляет безопасность передачи данных.

Такие настройки значительно упрощают перехват трафика — этой теме посвящён один из следующих уроков.

MobSF (Mobile Security Framework) автоматизирует статический анализ. Загрузите APK, и он выдаст сведения о разрешениях, встроенных секретах, небезопасных настройках и оценке риска.

Это отличный инструмент для первичной сортировки, хотя ручная проверка по-прежнему позволяет обнаружить более глубокие проблемы.

После изменения smali пересоберите приложение с помощью apktool и выполните повторную подпись APK (Android отклоняет приложения без подписи). Для подписи подходят такие инструменты, как apksigner и uber-apk-signer.

Этот процесс лежит в основе тестирования подмены и модификаций во время выполнения.

Ищите фильтры намерений для глубоких ссылок и использование WebView. Неправильно настроенные глубокие ссылки могут открывать внутренние экраны с данными, контролируемыми злоумышленником.

WebViews с JavaScriptInterface или загружающие ненадёжное содержимое могут сделать приложение уязвимым для внедрения и кражи данных. И то и другое часто обнаруживается при статическом анализе.

Теперь Вы понимаете, как выполняется статический анализ APK:

• Используйте apktool для работы со smali и декодированным манифестом, а jadx — для получения читаемого Java-кода.
• Ищите секреты, зашитые в коде, и проверяйте манифест на наличие флагов экспорта, отладки и резервного копирования.
• Проверьте конфигурацию безопасности сети; для автоматической первичной проверки используйте MobSF.
• Измените smali, затем пересоберите и повторно подпишите приложение, чтобы протестировать подмену.

Далее Вы будете изменять работающее приложение с помощью Frida.