Android APK Kontrol Listesi

Reading time: 5 minutes

Android temellerini öğrenin

• Temeller
• Dalvik & Smali
• Giriş noktaları
• Aktiviteler
• URL Şemaları
• İçerik Sağlayıcıları
• Hizmetler
• Yayıncı Alıcılar
• Niyetler
• Niyet Filtreleri
• Diğer bileşenler
• ADB nasıl kullanılır
• Smali nasıl değiştirilir

Statik Analiz

• obfuscation kullanımı kontrol edin, mobilin root'lanıp root'lanmadığını, bir emülatör kullanılıp kullanılmadığını ve anti-tamper kontrollerini not edin. Daha fazla bilgi için bunu okuyun.
• Hassas uygulamalar (banka uygulamaları gibi) mobilin root'lanıp root'lanmadığını kontrol etmeli ve buna göre hareket etmelidir.
• ilginç dizgiler (şifreler, URL'ler, API, şifreleme, arka kapılar, jetonlar, Bluetooth uuid'leri...) arayın.
• firebase API'lerine özel dikkat.
• Manifesti okuyun:
• Uygulamanın hata ayıklama modunda olup olmadığını kontrol edin ve "sömürmeye" çalışın.
• APK'nın yedeklemelere izin verip vermediğini kontrol edin.
• Dışa Aktarılan Aktiviteler
• İçerik Sağlayıcıları
• Açık hizmetler
• Yayıncı Alıcılar
• URL Şemaları
• Uygulama verileri güvensiz bir şekilde iç veya dışa kaydediyor mu?
• Herhangi bir şifre sabit kodlanmış mı veya diske kaydedilmiş mi? Uygulama güvensiz şifreleme algoritmaları mı kullanıyor?
• Tüm kütüphaneler PIE bayrağı kullanılarak mı derlendi?
• Bu aşamada size çok yardımcı olabilecek bir dizi statik Android Analizörü olduğunu unutmayın.
• android:exported Android 12+ için zorunlu – yanlış yapılandırılmış dışa aktarılan bileşenler dışsal niyet çağrısına yol açabilir.
• Ağ Güvenliği Yapılandırmasını (networkSecurityConfig XML) cleartextTrafficPermitted="true" veya alan özel geçersiz kılmaları için gözden geçirin.
• Play Integrity / SafetyNet / DeviceCheck çağrılarına bakın – özel doğrulamanın takılabilir/atlatılabilir olup olmadığını belirleyin.
• Uygulama Bağlantıları / Derin Bağlantılar (android:autoVerify) için niyet yönlendirme veya açık yönlendirme sorunlarını kontrol edin.
• WebView.addJavascriptInterface veya loadData*() kullanımını tanımlayın, bu uygulama içinde RCE / XSS'ye yol açabilir.
• Çapraz platform paketlerini analiz edin (Flutter libapp.so, React-Native JS paketleri, Capacitor/Ionic varlıkları). Özel araçlar:
• flutter-packer, fluttersign, rn-differ
• Bilinen CVE'ler için üçüncü taraf yerel kütüphaneleri tarayın (örneğin, libwebp CVE-2023-4863, libpng, vb.).
• Ek bulgular için SEMgrep Mobil kuralları, Pithus ve en son MobSF ≥ 3.9 AI destekli tarama sonuçlarını değerlendirin.

Dinamik Analiz

• Ortamı hazırlayın (çevrimiçi, yerel VM veya fiziksel)
• Herhangi bir istenmeyen veri sızıntısı var mı (günlükleme, kopyala/yapıştır, çökme günlükleri)?
• Gizli bilgilerin SQLite veritabanlarında kaydedilip kaydedilmediğini kontrol edin?
• Sömürülebilir dışa aktarılan Aktiviteler?
• Sömürülebilir İçerik Sağlayıcıları?
• Sömürülebilir açık Hizmetler?
• Sömürülebilir Yayıncı Alıcılar?
• Uygulama bilgileri düz metin olarak mı iletiyor/güçsüz algoritmalar mı kullanıyor? Bir MitM mümkün mü?
• HTTP/HTTPS trafiğini inceleyin
• Bu gerçekten önemlidir, çünkü HTTP trafiğini yakalayabilirseniz, yaygın Web güvenlik açıklarını arayabilirsiniz (Hacktricks'in Web güvenlik açıkları hakkında çok fazla bilgisi var).
• Olası Android İstemci Tarafı Enjeksiyonları için kontrol edin (muhtemelen bazı statik kod analizi burada yardımcı olacaktır).
• Frida: Sadece Frida, uygulamadan ilginç dinamik veriler elde etmek için kullanın (belki bazı şifreler...).
• Tapjacking / Animasyon destekli saldırılar (TapTrap 2025) için test yapın, Android 15+ üzerinde bile (hiçbir overlay izni gerekmiyor).
• overlay / SYSTEM_ALERT_WINDOW clickjacking ve Erişim Servisi istismarı için ayrıcalık yükseltme deneyin.
• adb backup / bmgr backupnow hala uygulama verilerini dökebiliyor mu kontrol edin ( allowBackup'ı devre dışı bırakmayı unutan uygulamalar).
• Binder düzeyinde LPE'ler için sorgulama yapın (örneğin, CVE-2023-20963, CVE-2023-20928); izin verilirse çekirdek fuzzers veya PoC'ler kullanın.
• Play Integrity / SafetyNet uygulanıyorsa, çalışma zamanı kancaları (Frida Gadget, MagiskIntegrityFix, Integrity-faker) veya ağ düzeyinde tekrar oynatma deneyin.
• Modern araçlarla enstrümantasyon yapın:
• Objection > 2.0, Frida 17+, NowSecure-Tracer (2024)
• perfetto / simpleperf ile dinamik sistem genelinde izleme.

Bazı obfuscation/Deobfuscation bilgileri

• Buradan okuyun