Android 应用结构

Android 应用以 APK（Android Package）的形式发布。它实际上是一个包含已编译代码、资源和元数据的 ZIP 压缩包。

由于它是 ZIP 文件，您可以直接将其解压来检查内容，这是移动端渗透测试的第一步。

解压后的 APK 包含：

• AndroidManifest.xml：应用配置。
• classes.dex：已编译的字节码。
• res/ 和 resources.arsc：资源。
• lib/：本地库。
• META-INF/：签名信息。

AndroidManifest.xml 声明应用的组件、权限和配置。在 APK 中，它采用工具可以解码的二进制 XML 形式。

它是了解应用攻击面的最重要文件。

Java/Kotlin 源代码会编译成 classes.dex 中的 DEX（Dalvik Executable）字节码。现代 Android 通过 ART（Android Runtime）运行它。

DEX 可以转换回接近可读代码的形式，这正是 APK 静态分析所利用的特点。

Android 应用由四种组件类型构成：

• 活动：屏幕 / 用户界面。
• 服务：后台工作。
• 广播接收器：响应系统事件。
• 内容提供程序：在应用之间共享数据。

标记为 android:exported="true" 的组件可以被其他应用调用。如果此类组件在未进行检查的情况下执行敏感操作，它就是一个攻击面。

渗透测试人员会查找可能泄露数据或执行特权操作的导出活动、服务和内容提供程序。

应用会在清单文件中请求权限（例如 INTERNET、READ_SMS、ACCESS_FINE_LOCATION）。

权限范围过大可能暗示存在风险行为或过度的数据访问。自定义权限也可能配置错误，从而允许未经授权的访问。

Android 会将每个应用隔离在自己的沙箱中，并为其分配唯一的 Linux UID。默认情况下，应用无法读取彼此的数据。

当应用削弱这道边界时，就会产生漏洞，例如文件可被所有用户读取，或内容提供程序暴露在外。

已安装的应用会将私有数据存储在 /data/data/<package>/ 下，包括数据库、共享偏好设置和文件。

在已获取 root 权限的设备上，或通过备份，渗透测试人员可以检查此目录，查找以不安全方式存储的机密信息；后续课程将进一步介绍。

每个 APK 都经过数字签名；签名存储在 META-INF/ 中。Android 会在安装和更新时验证签名。

如果您修改并重新打包应用，就必须重新为其签名，这也是开发人员依靠签名检测篡改的原因。

对性能要求较高的逻辑或混淆逻辑可能位于 lib/ 下的本地库（.so 文件）中，这些库由 C/C++ 编译而成。

它们不在 DEX 中，因此需要使用本地反汇编器单独分析。开发人员有时会将机密信息隐藏在这里，错误地认为本地代码更难检查。

回忆一下，哪个清单属性会将组件暴露给其他应用。

现在您已经了解了 Android 应用的结构：

• APK 是一个 ZIP 压缩包，其中包含 AndroidManifest.xml、classes.dex、资源和签名数据。
• 应用使用四种组件；导出的组件属于攻击面。
• 权限和每个应用的沙箱控制访问；私有数据存储在 /data/data/ 中。
• APK 会经过签名，以检测篡改。

接下来，您将在静态分析中反编译一个 APK。