APK'lerin Statik Analizi

Bir APK'nın statik analizi, onu çalıştırmadan kodunu ve kaynaklarını incelemek anlamına gelir. Amaç, derlenmiş DEX'ten okunabilir kaynak kodu benzeri bir kod elde etmektir.

Bu işlem, sabit kodlanmış gizli bilgileri, mantık hatalarını ve uygulamanın gerçek davranışını ortaya çıkarır.

apktool, bir APK'yı okunabilir kaynaklara ve smali'ye (DEX bayt kodunun insanlar tarafından okunabilir biçimi) geri çözer. Ayrıca ikili AndroidManifest.xml dosyasının kodunu da çözer.

Manifesti okumak ve değiştirilmiş uygulamaları yeniden paketlemek için kullanın.

Smali, Dalvik bayt kodu için assembly benzeri dildir. Ayrıntılıdır; ancak örneğin bir karşılaştırmayı değiştirerek bir denetimi atlamak gibi hassas düzenlemeler yapmanıza olanak tanır.

Uygulamanın davranışını değiştirmek için smali'yi yamalayabilir ve APK'yı yeniden oluşturabilirsiniz.

jadx, DEX'i doğrudan okunabilir Java'ya decompile eder. GUI sürümü olan jadx-gui, sınıflara göz atmanıza, dizelerde arama yapmanıza ve yöntem çağrılarını takip etmenize olanak tanır.

Bir uygulamanın mantığını anlamanın en hızlı yoludur.

Alternatif bir işlem hattı, dex2jar ile DEX'i JAR'a dönüştürür ve ardından dosyayı JD-GUI gibi bir Java decompiler'ında açar.

jadx genellikle daha temiz çıktı üretir; ancak jadx zorlandığında dex2jar kullanışlıdır.

Dekompile edilmiş kod çoğu zaman sabit kodlanmış gizli bilgiler içerir: API anahtarları, belirteçler, şifreleme anahtarları ve arka uç URL'leri.

Kaynak kodunda password, secret, apikey ve http gibi anahtar sözcükleri arayın. Geliştiriciler derlenmiş kodun bunları gizlediğini yanlış varsayar.

Manifestin kodu çözüldüğünde şunları kontrol edin:

• Dışa aktarılmış bileşenler.
• android:debuggable="true".
• android:allowBackup="true" (veriler yedekleme yoluyla çıkarılabilir).
• Tehlikeli veya özel izinler.

Ağ Güvenliği Yapılandırması, TLS davranışını denetler. şifresiz trafiğe izin veren veya kullanıcı tarafından eklenen sertifika yetkililerine güvenen bir yapılandırma, aktarım güvenliğini zayıflatır.

Bu tür ayarlar, trafiğin araya alınmasını (ileride ele alınacak bir konu) çok daha kolaylaştırır.

MobSF (Mobil Güvenlik Çerçevesi), statik analizi otomatikleştirir. Bir APK yüklediğinizde izinleri, sabit kodlanmış gizli bilgileri, güvensiz ayarları ve risk puanını raporlar.

Ön değerlendirme için harikadır; ancak elle yapılan inceleme yine de daha derin sorunları ortaya çıkarır.

smali'yi yamaladıktan sonra apktool ile yeniden derleyin ve APK'yı yeniden imzalayın (Android, imzasız uygulamaları reddeder). apksigner veya uber-apk-signer gibi araçlar imzalama işlemini gerçekleştirir.

Bu iş akışı, kurcalama testlerinin ve çalışma zamanı değişikliklerinin temelini oluşturur.

deep link amaç filtrelerini ve WebView kullanımını arayın. Yanlış yapılandırılmış derin bağlantılar, saldırganın kontrol ettiği verilerle dahili ekranları açabilir.

JavaScriptInterface kullanan veya güvenilmeyen içerik yükleyen WebView'lar, uygulamayı kod ekleme ve veri hırsızlığına açık hâle getirebilir. Her ikisi de statik incelemelerde sık rastlanan bulgulardır.

Bir APK'dan doğrudan okunabilir Java sağlayan aracı hatırlayın.

Artık statik APK analizini anlıyorsunuz:

• smali ve kodu çözülmüş bildirim için apktool; okunabilir Java için jadx kullanın.
• sabit kodlanmış gizli bilgileri arayın ve dışa aktarılmış, hata ayıklanabilir ve yedeklenebilir işaretleri görmek için bildirimi inceleyin.
• Ağ Güvenliği Yapılandırmasını kontrol edin; otomatik ön inceleme için MobSF kullanın.
• smali'yi yamalayın, ardından kurcalamayı test etmek için yeniden derleyip yeniden imzalayın.

Sırada Frida ile çalışan bir uygulamayı değiştireceksiniz.