Android APK Checklist

Reading time: 4 minutes

Impara le basi di Android

• Basi
• Dalvik & Smali
• Punti di ingresso
• Attività
• Schemi URL
• Content Providers
• Servizi
• Broadcast Receivers
• Intents
• Filtro Intent
• Altri componenti
• Come usare ADB
• Come modificare Smali

Analisi Statica

• Controlla l'uso di offuscamento, verifica se il mobile è stato rootato, se viene utilizzato un emulatore e controlli anti-manomissione. Leggi qui per maggiori informazioni.
• Le applicazioni sensibili (come le app bancarie) dovrebbero controllare se il mobile è rootato e agire di conseguenza.
• Cerca stringhe interessanti (password, URL, API, crittografia, backdoor, token, UUID Bluetooth...).
• Attenzione speciale alle API di firebase.
• Leggi il manifest:
• Controlla se l'applicazione è in modalità debug e prova a "sfruttarla"
• Controlla se l'APK consente backup
• Attività esportate
• Content Providers
• Servizi esposti
• Broadcast Receivers
• Schemi URL
• L'applicazione sta salvando dati in modo insicuro internamente o esternamente?
• C'è qualche password hardcoded o salvata su disco? L'app sta utilizzando algoritmi crittografici insicuri?
• Tutte le librerie compilate utilizzando il flag PIE?
• Non dimenticare che ci sono un sacco di analizzatori statici Android che possono aiutarti molto durante questa fase.

Analisi Dinamica

• Prepara l'ambiente (online, VM locale o fisica)
• C'è qualche perdita di dati non intenzionale (logging, copia/incolla, log di crash)?
• Informazioni riservate salvate in db SQLite?
• Attività esportate sfruttabili?
• Content Providers sfruttabili?
• Servizi esposti sfruttabili?
• Broadcast Receivers sfruttabili?
• L'applicazione sta trasmettendo informazioni in chiaro/utilizzando algoritmi deboli? È possibile un MitM?
• Ispeziona il traffico HTTP/HTTPS
• Questo è davvero importante, perché se riesci a catturare il traffico HTTP puoi cercare vulnerabilità Web comuni (Hacktricks ha molte informazioni sulle vulnerabilità Web).
• Controlla possibili iniezioni lato client Android (probabilmente un'analisi statica del codice aiuterà qui)
• Frida: Solo Frida, usala per ottenere dati dinamici interessanti dall'applicazione (forse alcune password...)

Alcune informazioni su offuscamento/Deoffuscamento

• Leggi qui