Android APK Checklist

Reading time: 4 minutes

Learn Android fundamentals

• Misingi
• Dalvik & Smali
• Nukta za kuingia
• Shughuli
• Mipango ya URL
• Watoa maudhui
• Huduma
• Vipokezi vya matangazo
• Mawasiliano
• Filita ya Mawasiliano
• Vipengele vingine
• Jinsi ya kutumia ADB
• Jinsi ya kubadilisha Smali

Static Analysis

• Angalia matumizi ya obfuscation, angalia kama simu imekuwa rooted, kama emulator inatumika na ukaguzi wa kupambana na uharibifu. Soma hapa kwa maelezo zaidi.
• Programu nyeti (kama programu za benki) zinapaswa kuangalia kama simu imekuwa rooted na kuchukua hatua kwa mujibu wa hilo.
• Tafuta nyuzi za kuvutia (nywila, URL, API, usimbuaji, milango ya nyuma, tokeni, Bluetooth uuids...).
• Kipaumbele maalum kwa firebase APIs.
• Soma hati ya maombi:
• Angalia kama programu iko katika hali ya debug na jaribu "kuikabili"
• Angalia kama APK inaruhusu nakala za akiba
• Shughuli zilizotolewa
• Watoa maudhui
• Huduma zilizofichuliwa
• Vipokezi vya matangazo
• Mipango ya URL
• Je, programu inasaidia kuhifadhi data kwa njia isiyo salama ndani au nje?
• Je, kuna nywila iliyowekwa kwa nguvu au kuhifadhiwa kwenye diski? Je, programu inatumia algorithimu za usimbuaji zisizo salama?
• Je, maktaba zote zimeundwa kwa kutumia bendera ya PIE?
• Usisahau kwamba kuna kundi la static Android Analyzers ambazo zinaweza kukusaidia sana katika hatua hii.

Dynamic Analysis

• Andaa mazingira (mtandaoni, VM ya ndani au kimwili)
• Je, kuna kuvuja kwa data zisizokusudiwa (kuandika, nakala/paste, kumbukumbu za ajali)?
• Taarifa za siri zinahifadhiwa katika SQLite dbs?
• Shughuli zilizofichuliwa zinazoweza kutumika?
• Watoa maudhui wanaoweza kutumika?
• Huduma zilizofichuliwa zinazoweza kutumika?
• Vipokezi vya matangazo vinavyoweza kutumika?
• Je, programu inasambaza taarifa kwa maandiko wazi/ikatumia algorithimu dhaifu? Je, MitM inawezekana?
• Kagua trafiki ya HTTP/HTTPS
• Hii ni muhimu sana, kwa sababu ikiwa unaweza kukamata trafiki ya HTTP unaweza kutafuta udhaifu wa kawaida wa Mtandao (Hacktricks ina habari nyingi kuhusu udhaifu wa Mtandao).
• Angalia uwezekano wa Android Client Side Injections (labda uchambuzi wa msimbo wa statiki utaweza kusaidia hapa)
• Frida: Frida tu, tumia ili kupata data ya kuvutia ya kidinamik kutoka kwa programu (labda nywila zingine...)

Some obfuscation/Deobfuscation information

• Soma hapa