Android Uygulama Yapısı

Bir Android uygulaması APK (Android Paketi) olarak dağıtılır. Aslında derlenmiş kodu, kaynakları ve üst verileri içeren bir ZIP arşividir.

ZIP olduğu için içeriğini incelemek üzere dosyaları kolayca açabilirsiniz; bu, mobil sızma testinin ilk adımıdır.

Çıkarılmış bir APK şunları içerir:

• AndroidManifest.xml: uygulama yapılandırması.
• classes.dex: derlenmiş bayt kodu.
• res/ ve resources.arsc: kaynaklar.
• lib/: yerel kitaplıklar.
• META-INF/: imzalama bilgileri.

AndroidManifest.xml, uygulamanın bileşenlerini, izinlerini ve yapılandırmasını bildirir. APK içinde, araçların çözebileceği ikili XML biçimindedir.

Bir uygulamanın saldırı yüzeyini anlamak için en önemli dosyadır.

Java/Kotlin kaynak kodu, classes.dex içinde DEX (Dalvik Yürütülebilir) bayt koduna derlenir. Modern Android bunu ART (Android Runtime) aracılığıyla çalıştırır.

DEX, okunabilir koda geri dönüştürülebilir; APK'lerin statik analizinde bundan yararlanılır.

Android uygulamaları dört bileşen türünden oluşturulur:

• Etkinlikler: ekranlar / kullanıcı arayüzü.
• Hizmetler: arka plan çalışmaları.
• Yayın Alıcıları: sistem olaylarına yanıt verir.
• İçerik Sağlayıcıları: uygulamalar arasında veri paylaşır.

android:exported="true" olarak işaretlenen bir bileşen, diğer uygulamalar tarafından çağrılabilir. Böyle bir bileşen denetim olmadan hassas işlemler gerçekleştirirse bir saldırı yüzeyi oluşturur.

Sızma testi uzmanları, veri sızdıran veya ayrıcalıklı işlemler gerçekleştiren dışa aktarılmış etkinlikleri, hizmetleri ve sağlayıcıları arar.

Uygulamalar manifestte izinler ister (örneğin INTERNET, READ_SMS, ACCESS_FINE_LOCATION).

Aşırı geniş izinler, riskli davranışa veya gereğinden fazla veri erişimine işaret eder. Özel izinler de yetkisiz erişime izin verecek şekilde yanlış yapılandırılabilir.

Android, her uygulamayı benzersiz bir Linux UID ile kendi korumalı alanında yalıtır. Varsayılan olarak uygulamalar birbirlerinin verilerini okuyamaz.

Uygulamalar bu sınırı zayıflattığında; örneğin dosyaları herkesin okuyabileceği şekilde bıraktığında veya sağlayıcıları dışarı açtığında güvenlik açıkları ortaya çıkar.

Yüklü bir uygulama özel verilerini /data/data/<package>/ altında depolar: veritabanları, paylaşılan tercihler ve dosyalar.

Bir sızma testi uzmanı, root edilmiş bir cihazda veya yedekler aracılığıyla bu dizini güvenli olmayan biçimde saklanan gizli bilgiler açısından inceler; sonraki ders bunu ele alacaktır.

Her APK dijital olarak imzalanır; imza META-INF/ içinde bulunur. Android, yükleme ve güncelleme sırasında bu imzayı doğrular.

Bir uygulamayı değiştirip yeniden paketlerseniz onu yeniden imzalamanız gerekir; geliştiricilerin kurcalamayı tespit etmek için imzalamaya güvenmesinin nedeni budur.

Performans açısından kritik veya gizlenmiş mantık, C/C++ ile derlenmiş yerel kitaplıklarda (.so dosyaları) ve lib/ altında bulunabilir.

Bunlar DEX içinde yer almaz; bu nedenle yerel demontaj araçlarıyla ayrı bir analiz gerektirir. Geliştiriciler bazen yerel kodun incelenmesinin daha zor olduğuna yanlışlıkla inanarak gizli bilgileri burada saklar.

Bir bileşeni diğer uygulamalara açan manifest özniteliğini hatırlayın.

Artık Android uygulama yapısını anlıyorsunuz:

• Bir APK, AndroidManifest.xml, classes.dex, kaynakları ve imzalama verilerini içeren bir ZIP'tir.
• Uygulamalar dört bileşen kullanır; dışa aktarılmış bileşenler saldırı yüzeyidir.
• İzinler ve uygulamaya özel korumalı alan erişimi yönetir; özel veriler /data/data/ içinde bulunur.
• APK'ler kurcalamayı tespit etmek için imzalanır.

Sırada bir APK'yı statik analizle dekompile edeceksiniz.