Android APK Checklist

Reading time: 4 minutes

Learn Android fundamentals

• Основи
• Dalvik & Smali
• Точки входу
• Активності
• URL-схеми
• Постачальники контенту
• Сервіси
• Отримувачі трансляцій
• Інтенти
• Фільтр інтента
• Інші компоненти
• Як використовувати ADB
• Як модифікувати Smali

Статичний аналіз

• Перевірте використання обфускації, перевірки на те, чи був мобільний пристрій рутований, чи використовується емулятор та перевірки на антивандалізм. Читати тут для отримання додаткової інформації.
• Чутливі програми (наприклад, банківські додатки) повинні перевіряти, чи рутований мобільний пристрій, і діяти відповідно.
• Шукайте цікаві рядки (паролі, URL, API, шифрування, бекдори, токени, Bluetooth uuids...).
• Особлива увага до firebaseAPI.
• Читати маніфест:
• Перевірте, чи програма в режимі налагодження, і спробуйте "використати" її
• Перевірте, чи дозволяє APK резервні копії
• Експортовані активності
• Постачальники контенту
• Відкриті сервіси
• Отримувачі трансляцій
• URL-схеми
• Чи зберігає програма дані незахищено внутрішньо чи зовні?
• Чи є пароль, закодований або збережений на диску? Чи використовує програма незахищені криптоалгоритми?
• Усі бібліотеки скомпільовані з використанням прапора PIE?
• Не забувайте, що є безліч статичних аналізаторів Android, які можуть дуже допомогти на цьому етапі.

Динамічний аналіз

• Підготуйте середовище (онлайн, локальна VM або фізична)
• Чи є небажане витікання даних (логування, копіювання/вставка, журнали аварій)?
• Конфіденційна інформація, що зберігається в SQLite базах даних?
• Вразливі експортовані активності?
• Вразливі постачальники контенту?
• Вразливі відкриті сервіси?
• Вразливі отримувачі трансляцій?
• Чи передає програма інформацію у відкритому тексті/використовує слабкі алгоритми? Чи можливий MitM?
• Перевірте HTTP/HTTPS трафік
• Це дійсно важливо, тому що якщо ви можете захопити HTTP трафік, ви можете шукати загальні веб-вразливості (Hacktricks має багато інформації про веб-вразливості).
• Перевірте можливі ін'єкції на стороні клієнта Android (можливо, деякий статичний аналіз коду допоможе тут)
• Frida: Просто Frida, використовуйте її для отримання цікавих динамічних даних з програми (можливо, деякі паролі...)

Деяка інформація про обфускацію/деобфускацію

• Читати тут