Android APK Checklist

Reading time: 4 minutes

Leer Android beginsels

• Basiese beginsels
• Dalvik & Smali
• Toegangspunte
• Aktiwiteite
• URL Skemas
• Inhoud Verskaffers
• Dienste
• Uitzend Ontvangers
• Intensies
• Intent Filter
• Ander komponente
• Hoe om ADB te gebruik
• Hoe om Smali te wysig

Statiese Analise

• Kontroleer vir die gebruik van obfuscation, kontroleer of die mobiele toestel ge-root is, of 'n emulator gebruik word en anti-tampering kontrole. Lees dit vir meer inligting.
• Sensitiewe toepassings (soos banktoepassings) moet kontroleer of die mobiele toestel ge-root is en moet gevolglik optree.
• Soek na interessante stringe (wagwoorde, URL's, API, versleuteling, agterdeure, tokens, Bluetooth uuids...).
• Spesiale aandag aan firebase APIs.
• Lees die manifest:
• Kontroleer of die toepassing in debug-modus is en probeer om dit te "ontgin"
• Kontroleer of die APK rugsteun toelaat
• Geëksporteerde Aktiwiteite
• Inhoud Verskaffers
• Blootgestelde dienste
• Uitzend Ontvangers
• URL Skemas
• Is die toepassing saving data insecurely internally or externally?
• Is daar enige wagwoord hard gekodeer of op skyf gestoor? Gebruik die app insecurely crypto algorithms?
• Alle biblioteke saamgekompileer met die PIE-vlag?
• Moet nie vergeet dat daar 'n klomp statiese Android Analyzers is wat jou baie kan help tydens hierdie fase nie.

Dinamiese Analise

• Berei die omgewing voor (aanlyn, lokale VM of fisies)
• Is daar enige onbedoelde data lekkasie (logging, copy/paste, crash logs)?
• Vertroulike inligting wat in SQLite dbs gestoor word?
• Eksploiteerbare geëksporteerde Aktiwiteite?
• Eksploiteerbare Inhoud Verskaffers?
• Eksploiteerbare blootgestelde Dienste?
• Eksploiteerbare Uitzend Ontvangers?
• Is die toepassing inligting in duidelike teks oordra/gebruik swak algoritmes? Is 'n MitM moontlik?
• Inspekteer HTTP/HTTPS verkeer
• Hierdie een is regtig belangrik, want as jy die HTTP-verkeer kan vang, kan jy soek na algemene Web kwesbaarhede (Hacktricks het baie inligting oor Web kwesbaarhede).
• Kontroleer vir moontlike Android Client Side Injections (waarskynlik sal 'n bietjie statiese kode analise hier help)
• Frida: Net Frida, gebruik dit om interessante dinamiese data van die toepassing te verkry (miskien 'n paar wagwoorde...)

Sommige obfuscation/Deobfuscation inligting

• Lees hier