Android APK Checklist

Reading time: 4 minutes

Aprenda os fundamentos do Android

• Conceitos básicos
• Dalvik & Smali
• Pontos de entrada
• Atividades
• Esquemas de URL
• Provedores de Conteúdo
• Serviços
• Receivers de Broadcast
• Intents
• Filtro de Intent
• Outros componentes
• Como usar ADB
• Como modificar Smali

Análise Estática

• Verifique o uso de ofuscação, verifique se o celular foi rootado, se um emulador está sendo usado e verificações de anti-tampering. Leia isso para mais informações.
• Aplicações sensíveis (como aplicativos bancários) devem verificar se o celular está rootado e devem agir em consequência.
• Procure por strings interessantes (senhas, URLs, API, criptografia, backdoors, tokens, uuids do Bluetooth...).
• Atenção especial para as APIs do firebase.
• Leia o manifesto:
• Verifique se a aplicação está em modo de depuração e tente "explorá-la".
• Verifique se o APK permite backups.
• Atividades exportadas.
• Provedores de Conteúdo.
• Serviços expostos.
• Receivers de Broadcast.
• Esquemas de URL.
• A aplicação está salvando dados de forma insegura internamente ou externamente?
• Existe alguma senha hardcoded ou salva no disco? O aplicativo está usando algoritmos criptográficos inseguros?
• Todas as bibliotecas compiladas usando a flag PIE?
• Não se esqueça de que há uma série de Analisadores Estáticos do Android que podem ajudar muito durante esta fase.

Análise Dinâmica

• Prepare o ambiente (online, VM local ou física).
• Existe algum vazamento de dados não intencional (logs, copiar/colar, logs de falhas)?
• Informações confidenciais sendo salvas em bancos de dados SQLite?
• Atividades expostas exploráveis?
• Provedores de Conteúdo exploráveis?
• Serviços expostos exploráveis?
• Receivers de Broadcast exploráveis?
• A aplicação está transmitindo informações em texto claro/usando algoritmos fracos? É possível um MitM?
• Inspecione o tráfego HTTP/HTTPS.
• Isso é realmente importante, porque se você conseguir capturar o tráfego HTTP, pode procurar por vulnerabilidades comuns na Web (Hacktricks tem muitas informações sobre vulnerabilidades da Web).
• Verifique possíveis Injeções do Lado do Cliente Android (provavelmente alguma análise de código estático ajudará aqui).
• Frida: Apenas Frida, use-a para obter dados dinâmicos interessantes da aplicação (talvez algumas senhas...).

Algumas informações sobre ofuscação/Deofuscação

• Leia aqui