Android APK चेकलिस्ट

Reading time: 6 minutes

Android मूल बातें सीखें

• बुनियादी
• Dalvik & Smali
• Entry points
• Activities
• URL Schemes
• Content Providers
• Services
• Broadcast Receivers
• Intents
• Intent Filter
• Other components
• How to use ADB
• How to modify Smali

Static Analysis

• चेक करें कि क्या एप्लिकेशन में obfuscation का उपयोग हो रहा है, यह नोट करें कि मोबाइल rooted है या emulator उपयोग हो रहा है और anti-tampering checks मौजूद हैं। अधिक जानकारी के लिए पढ़ें.
• संवेदनशील applications (जैसे बैंक ऐप्स) को जांचना चाहिए कि मोबाइल rooted है या नहीं और उसके अनुसार व्यवहार करना चाहिए।
• interesting strings खोजें (passwords, URLs, API, encryption, backdoors, tokens, Bluetooth uuids...)।
• firebase APIs पर विशेष ध्यान दें।
• Manifest पढ़ें:
• जांचें कि क्या एप्लिकेशन debug mode में है और इसे "exploit" करने का प्रयास करें
• जांचें कि क्या APK backups की अनुमति देता है
• Exported Activities
• Unity Runtime: exported UnityPlayerActivity/UnityPlayerGameActivity के साथ unity CLI extras bridge। pre-init dlopen() RCE के लिए -xrsdk-pre-init-library <abs-path> का परीक्षण करें। देखें Intent Injection → Unity Runtime।
• Content Providers
• Exposed services
• Broadcast Receivers
• URL Schemes
• क्या एप्लिकेशन आंतरिक या बाह्य रूप से data insecurely सहेज रहा है? (android-app-pentesting/index.html#insecure-data-storage)
• क्या कोई password hard coded या disk पर saved है? क्या ऐप insecurely crypto algorithms का उपयोग कर रहा है?
• क्या सभी libraries PIE flag का उपयोग करके compiled हैं?
• मत भूलिए कि कई static Android Analyzers हैं जो इस चरण में आपकी काफी मदद कर सकते हैं।
• android:exported Android 12+ पर अनिवार्य – गलत कॉन्फ़िगर किए गए exported components external intent invocation का कारण बन सकते हैं।
• Network Security Config (networkSecurityConfig XML) की समीक्षा करें कि कहीं cleartextTrafficPermitted="true" या domain-specific overrides तो नहीं हैं।
• Play Integrity / SafetyNet / DeviceCheck के कॉल्स की तलाश करें – निर्धारित करें कि क्या custom attestation को hook/bypass किया जा सकता है।
• App Links / Deep Links (android:autoVerify) की जाँच करें intent-redirection या open-redirect समस्याओं के लिए।
• WebView.addJavascriptInterface या loadData*() के उपयोग की पहचान करें जो ऐप के अंदर RCE / XSS का कारण बन सकते हैं।
• cross-platform bundles (Flutter libapp.so, React-Native JS bundles, Capacitor/Ionic assets) का विश्लेषण करें। समर्पित टूलिंग:
• flutter-packer, fluttersign, rn-differ
• third-party native libraries को ज्ञात CVEs के लिए स्कैन करें (उदा., libwebp CVE-2023-4863, libpng, आदि)।
• अतिरिक्त findings के लिए SEMgrep Mobile rules, Pithus और नवीनतम MobSF ≥ 3.9 AI-assisted scan results का मूल्यांकन करें।

Dynamic Analysis

• पर्यावरण तैयार करें (online, local VM or physical)
• क्या कोई अनिच्छित data leakage है (logging, copy/paste, crash logs)?
• क्या Confidential information SQLite dbs में सहेजी जा रही है?
• Exploitable exposed Activities?
• Exploitable Content Providers?
• Exploitable exposed Services?
• Exploitable Broadcast Receivers?
• क्या एप्लिकेशन जानकारी clear text में भेज रहा है/weak algorithms का उपयोग कर रहा है (android-app-pentesting/index.html#insufficient-transport-layer-protection)? क्या MitM संभव है?
• HTTP/HTTPS ट्रैफिक का निरीक्षण करें
• यह बहुत महत्वपूर्ण है, क्योंकि अगर आप HTTP ट्रैफिक capture कर सकते हैं तो आप सामान्य Web vulnerabilities की खोज कर सकते हैं (Hacktricks में Web vulns पर बहुत जानकारी है)।
• संभावित Android Client Side Injections के लिए जांचें (संभावित रूप से कुछ static code analysis यहाँ मदद करेगा)
• Frida: सिर्फ Frida का उपयोग करें, application से रोचक dynamic data प्राप्त करने के लिए (शायद कुछ passwords...)
• Tapjacking / Animation-driven attacks (TapTrap 2025) का परीक्षण करें भले ही Android 15+ पर हो (कोई overlay permission आवश्यक नहीं)।
• privilege escalation के लिए overlay / SYSTEM_ALERT_WINDOW clickjacking और Accessibility Service abuse का प्रयास करें।
• जांचें कि क्या adb backup / bmgr backupnow अभी भी app data dump कर सकते हैं (ऐप्स जो allowBackup disable करना भूल गए हैं)।
• Binder-level LPEs के लिए जांचें (उदा., CVE-2023-20963, CVE-2023-20928); अनुमति होने पर kernel fuzzers या PoCs का उपयोग करें।
• अगर Play Integrity / SafetyNet लागू है, तो runtime hooks (Frida Gadget, MagiskIntegrityFix, Integrity-faker) या network-level replay का प्रयास करें।
• आधुनिक टूलिंग के साथ instrumentation करें:
• Objection > 2.0, Frida 17+, NowSecure-Tracer (2024)
• सिस्टम-वाइड dynamic tracing perfetto / simpleperf के साथ।

Some obfuscation/Deobfuscation information

• Read here

References

• CVE-2025-59489 – Arbitrary Code Execution in Unity Runtime (blog)