Liste de contrôle APK Android

Reading time: 4 minutes

Apprendre les fondamentaux d'Android

• Bases
• Dalvik & Smali
• Points d'entrée
• Activités
• Schémas d'URL
• Fournisseurs de contenu
• Services
• Récepteurs de diffusion
• Intents
• Filtre d'intent
• Autres composants
• Comment utiliser ADB
• Comment modifier Smali

Analyse statique

• Vérifiez l'utilisation de l'obfuscation, vérifiez si le mobile est rooté, si un émulateur est utilisé et les vérifications anti-tampering. Lisez ceci pour plus d'infos.
• Les applications sensibles (comme les applications bancaires) doivent vérifier si le mobile est rooté et doivent agir en conséquence.
• Recherchez des chaînes intéressantes (mots de passe, URL, API, cryptage, portes dérobées, jetons, UUID Bluetooth...).
• Attention particulière aux APIs firebase.
• Lisez le manifeste :
• Vérifiez si l'application est en mode débogage et essayez de "l'exploiter"
• Vérifiez si l'APK permet des sauvegardes
• Activités exportées
• Fournisseurs de contenu
• Services exposés
• Récepteurs de diffusion
• Schémas d'URL
• L'application sauvegarde-t-elle des données de manière non sécurisée en interne ou en externe ?
• Y a-t-il un mot de passe codé en dur ou sauvegardé sur disque ? L'application utilise-t-elle des algorithmes cryptographiques non sécurisés ?
• Toutes les bibliothèques compilées avec le drapeau PIE ?
• N'oubliez pas qu'il existe un certain nombre de analyseurs Android statiques qui peuvent beaucoup vous aider durant cette phase.

Analyse dynamique

• Préparez l'environnement (en ligne, VM locale ou physique)
• Y a-t-il une fuite de données non intentionnelle (journalisation, copier/coller, journaux de plantage) ?
• Informations confidentielles sauvegardées dans des bases de données SQLite ?
• Activités exposées exploitables ?
• Fournisseurs de contenu exploitables ?
• Services exposés exploitables ?
• Récepteurs de diffusion exploitables ?
• L'application transmet-elle des informations en texte clair/utilise-t-elle des algorithmes faibles ? Un MitM est-il possible ?
• Inspecter le trafic HTTP/HTTPS
• Cela est vraiment important, car si vous pouvez capturer le trafic HTTP, vous pouvez rechercher des vulnérabilités Web courantes (Hacktricks a beaucoup d'informations sur les vulnérabilités Web).
• Vérifiez les injections côté client Android possibles (probablement une analyse de code statique aidera ici)
• Frida : Juste Frida, utilisez-le pour obtenir des données dynamiques intéressantes de l'application (peut-être quelques mots de passe...)

Quelques informations sur l'obfuscation/déobfuscation

• Lisez ici