Android APK チェックリスト

Reading time: 6 minutes

Androidの基本を学ぶ

• 基本
• Dalvik & Smali
• エントリーポイント
• アクティビティ
• URLスキーム
• コンテンツプロバイダー
• サービス
• ブロードキャストレシーバー
• インテント
• インテントフィルター
• その他のコンポーネント
• ADBの使い方
• Smaliの修正方法

静的分析

• 難読化の使用を確認し、モバイルがルート化されているか、エミュレーターが使用されているか、アンチタンパリングチェックを行います。詳細はこちらを読む。
• 銀行アプリのような敏感なアプリケーションは、モバイルがルート化されているか確認し、それに応じて行動する必要があります。
• 興味深い文字列（パスワード、URL、API、暗号化、バックドア、トークン、Bluetooth UUIDなど）を探します。
• FirebaseAPIに特に注意を払います。
• マニフェストを読む:
• アプリケーションがデバッグモードであるか確認し、「悪用」してみます。
• APKがバックアップを許可しているか確認します。
• エクスポートされたアクティビティ
• コンテンツプロバイダー
• 公開されたサービス
• ブロードキャストレシーバー
• URLスキーム
• アプリケーションが内部または外部に不安全にデータを保存しているか?
• パスワードがハードコーディングされているか、ディスクに保存されているか? アプリは不安全な暗号アルゴリズムを使用しているか?
• すべてのライブラリがPIEフラグを使用してコンパイルされていますか？
• このフェーズで役立つ静的Androidアナライザーがたくさんあることを忘れないでください。

動的分析

• 環境を準備します（オンライン、ローカルVMまたは物理）
• 意図しないデータ漏洩（ログ、コピー/ペースト、クラッシュログ）はありますか？
• 機密情報がSQLiteデータベースに保存されているか?
• 悪用可能なエクスポートされたアクティビティ?
• 悪用可能なコンテンツプロバイダー?
• 悪用可能な公開サービス?
• 悪用可能なブロードキャストレシーバー?
• アプリケーションが平文で情報を送信しているか/弱いアルゴリズムを使用しているか? MitMは可能ですか？
• HTTP/HTTPSトラフィックを検査する
• これは非常に重要です。HTTPトラフィックをキャプチャできれば、一般的なWebの脆弱性を探すことができます（HacktricksにはWebの脆弱性に関する多くの情報があります）。
• 可能なAndroidクライアントサイドインジェクションを確認します（おそらく静的コード分析が役立ちます）。
• Frida: Fridaを使用してアプリケーションから興味深い動的データを取得します（おそらくいくつかのパスワード...）。

一部の難読化/デオブフスケーション情報

• こちらを読む