Android APK Checklist

Reading time: 5 minutes

Learn Android fundamentals

• Βασικά
• Dalvik & Smali
• Σημεία εισόδου
• Δραστηριότητες
• Σχέδια URL
• Πάροχοι περιεχομένου
• Υπηρεσίες
• Δέκτες εκπομπών
• Intents
• Φίλτρο Intent
• Άλλα συστατικά
• Πώς να χρησιμοποιήσετε το ADB
• Πώς να τροποποιήσετε το Smali

Static Analysis

• Ελέγξτε για τη χρήση obfuscation, ελέγχους για το αν το κινητό ήταν root, αν χρησιμοποιείται εξομοιωτής και ελέγχους κατά της παραχάραξης. Διαβάστε αυτό για περισσότερες πληροφορίες.
• Ευαίσθητες εφαρμογές (όπως τραπεζικές εφαρμογές) θα πρέπει να ελέγχουν αν το κινητό είναι root και να ενεργούν αναλόγως.
• Αναζητήστε ενδιαφέροντα strings (κωδικοί πρόσβασης, URLs, API, κρυπτογράφηση, backdoors, tokens, Bluetooth uuids...).
• Ιδιαίτερη προσοχή στα firebase APIs.
• Διαβάστε το manifest:
• Ελέγξτε αν η εφαρμογή είναι σε λειτουργία debug και προσπαθήστε να την "εκμεταλλευτείτε"
• Ελέγξτε αν το APK επιτρέπει αντίγραφα ασφαλείας
• Εξαγόμενες Δραστηριότητες
• Πάροχοι περιεχομένου
• Εκτεθειμένες υπηρεσίες
• Δέκτες εκπομπών
• Σχέδια URL
• Αποθηκεύει η εφαρμογή δεδομένα με ανασφαλή τρόπο εσωτερικά ή εξωτερικά;
• Υπάρχει κάποιος κωδικός πρόσβασης σκληρά κωδικοποιημένος ή αποθηκευμένος στο δίσκο; Χρησιμοποιεί η εφαρμογή ανασφαλείς αλγόριθμους κρυπτογράφησης;
• Όλες οι βιβλιοθήκες έχουν μεταγλωττιστεί χρησιμοποιώντας την σημαία PIE;
• Μην ξεχνάτε ότι υπάρχει μια σειρά από στατικούς αναλυτές Android που μπορούν να σας βοηθήσουν πολύ κατά τη διάρκεια αυτής της φάσης.
• android:exported υποχρεωτικό σε Android 12+ – κακώς ρυθμισμένα εξαγόμενα συστατικά μπορεί να οδηγήσουν σε εξωτερική κλήση intent.
• Ελέγξτε τη Διαμόρφωση Ασφάλειας Δικτύου (networkSecurityConfig XML) για cleartextTrafficPermitted="true" ή ειδικές παρακάμψεις τομέα.
• Αναζητήστε κλήσεις σε Play Integrity / SafetyNet / DeviceCheck – προσδιορίστε αν η προσαρμοσμένη πιστοποίηση μπορεί να παρακαμφθεί.
• Εξετάστε τα App Links / Deep Links (android:autoVerify) για ζητήματα ανακατεύθυνσης intent ή ανοιχτής ανακατεύθυνσης.
• Προσδιορίστε τη χρήση του WebView.addJavascriptInterface ή loadData*() που μπορεί να οδηγήσει σε RCE / XSS μέσα στην εφαρμογή.
• Αναλύστε διασυνοριακά πακέτα (Flutter libapp.so, React-Native JS bundles, Capacitor/Ionic assets). Ειδικά εργαλεία:
• flutter-packer, fluttersign, rn-differ
• Σαρώστε τρίτες εγγενείς βιβλιοθήκες για γνωστά CVEs (π.χ., libwebp CVE-2023-4863, libpng, κ.λπ.).
• Αξιολογήστε τους κανόνες SEMgrep Mobile, Pithus και τα τελευταία αποτελέσματα σάρωσης MobSF ≥ 3.9 με υποστήριξη AI για επιπλέον ευρήματα.

Dynamic Analysis

• Προετοιμάστε το περιβάλλον (online, τοπική VM ή φυσική)
• Υπάρχει κάποια μη προγραμματισμένη διαρροή δεδομένων (καταγραφή, αντιγραφή/επικόλληση, αρχεία καταγραφής σφαλμάτων);
• Εμπιστευτικές πληροφορίες που αποθηκεύονται σε SQLite dbs;
• Εκμεταλλεύσιμες εξαγόμενες Δραστηριότητες;
• Εκμεταλλεύσιμες Πάροχοι περιεχομένου;
• Εκμεταλλεύσιμες εκτεθειμένες Υπηρεσίες;
• Εκμεταλλεύσιμες Δέκτες εκπομπών;
• Μεταδίδει η εφαρμογή πληροφορίες σε καθαρό κείμενο/χρησιμοποιώντας αδύναμους αλγόριθμους; είναι δυνατή μια MitM;
• Εξετάστε την κίνηση HTTP/HTTPS
• Αυτό είναι πραγματικά σημαντικό, γιατί αν μπορείτε να συλλάβετε την κίνηση HTTP μπορείτε να αναζητήσετε κοινές ευπάθειες Web (το Hacktricks έχει πολλές πληροφορίες σχετικά με τις ευπάθειες Web).
• Ελέγξτε για πιθανές Android Client Side Injections (πιθανώς κάποια στατική ανάλυση κώδικα θα βοηθήσει εδώ)
• Frida: Μόνο Frida, χρησιμοποιήστε το για να αποκτήσετε ενδιαφέροντα δυναμικά δεδομένα από την εφαρμογή (ίσως κάποιους κωδικούς πρόσβασης...)
• Δοκιμάστε για Tapjacking / επιθέσεις που οδηγούνται από κινούμενα σχέδια (TapTrap 2025) ακόμη και σε Android 15+ (δεν απαιτείται άδεια overlay).
• Προσπαθήστε overlay / SYSTEM_ALERT_WINDOW clickjacking και κατάχρηση Υπηρεσίας Προσβασιμότητας για κλιμάκωση προνομίων.
• Ελέγξτε αν το adb backup / bmgr backupnow μπορεί ακόμα να απορρίψει δεδομένα εφαρμογής (εφαρμογές που ξέχασαν να απενεργοποιήσουν το allowBackup).
• Εξετάστε για Binder-level LPEs (π.χ., CVE-2023-20963, CVE-2023-20928); χρησιμοποιήστε kernel fuzzers ή PoCs αν επιτρέπεται.
• Αν επιβάλλεται το Play Integrity / SafetyNet, δοκιμάστε runtime hooks (Frida Gadget, MagiskIntegrityFix, Integrity-faker) ή αναπαραγωγή σε επίπεδο δικτύου.
• Εργαλειοποιήστε με σύγχρονα εργαλεία:
• Objection > 2.0, Frida 17+, NowSecure-Tracer (2024)
• Δυναμική παρακολούθηση σε επίπεδο συστήματος με perfetto / simpleperf.

Some obfuscation/Deobfuscation information

• Διαβάστε εδώ