Android APK 清单

Reading time: 7 minutes

学习 Android 基础

• Basics
• Dalvik & Smali
• Entry points
• Activities
• URL Schemes
• Content Providers
• Services
• Broadcast Receivers
• Intents
• Intent Filter
• Other components
• How to use ADB
• How to modify Smali

静态分析

• 检查是否使用了 obfuscation，检查是否检测到设备已 root、是否在使用模拟器以及反篡改检查。详见。
• 敏感应用（如银行应用）应检测设备是否已 root 并据此采取相应措施。
• 搜索有价值的字符串（密码、URLs、API、加密、后门、tokens、Bluetooth uuids...）。
• 特别关注 firebase APIs。
• 阅读 manifest：
• 检查应用是否处于调试模式并尝试“exploit”它
• 检查 APK 是否允许备份
• Exported Activities
• Unity Runtime: exported UnityPlayerActivity/UnityPlayerGameActivity with a unity CLI extras bridge. Test -xrsdk-pre-init-library <abs-path> for pre-init dlopen() RCE. See Intent Injection → Unity Runtime.
• Content Providers
• Exposed services
• Broadcast Receivers
• URL Schemes
• 应用是否在内部或外部以不安全方式保存数据？
• 是否存在硬编码或写入磁盘的密码？应用是否使用不安全或已弃用的加密算法？
• 所有库是否都使用了 PIE 标志进行编译？
• 别忘了有一堆静态 Android 分析器可以在此阶段大有帮助。
• android:exported 在 Android 12+ 上为强制项 – 错误配置的 exported 组件可能导致外部 intent 调用。
• 审查 Network Security Config (networkSecurityConfig XML)，查找 cleartextTrafficPermitted="true" 或针对特定域的覆盖设置。
• 查找对 Play Integrity / SafetyNet / DeviceCheck 的调用 – 确定自定义 attestation 是否可被 hook/绕过。
• 检查 App Links / Deep Links (android:autoVerify) 是否存在 intent 重定向或 open-redirect 问题。
• 识别 WebView.addJavascriptInterface 或 loadData*() 的使用，这可能导致应用内的 RCE / XSS。
• 分析跨平台包（Flutter libapp.so、React-Native JS bundles、Capacitor/Ionic 资源）。专用工具：
• flutter-packer, fluttersign, rn-differ
• 扫描第三方本地库以查找已知 CVE（例如 libwebp CVE-2023-4863、libpng 等）。
• 评估 SEMgrep Mobile rules、Pithus 以及最新 MobSF ≥ 3.9 的 AI 辅助扫描结果以发现更多问题。

动态分析

• 准备环境（online、本地 VM 或 真机）
• 是否存在任何非预期的数据 leak（logging、copy/paste、crash logs）？
• 机密信息是否被保存到 SQLite dbs？
• 可被利用的 exported Activities？
• 可被利用的 Content Providers？
• 可被利用的 exposed Services？
• 可被利用的 Broadcast Receivers？
• 应用是否以明文传输信息或使用弱算法？是否可能发生 MitM？
• 检查 HTTP/HTTPS 流量
• 这一点非常重要，因为如果能捕获 HTTP 流量，就可以搜索常见的 Web 漏洞（Hacktricks 在 Web 漏洞方面有大量信息）。
• 检查可能的 Android Client Side Injections（可能需要一些静态代码分析辅助）
• Frida：就用 Frida，从应用中获取有价值的动态数据（可能是一些密码...）
• 测试 Tapjacking / Animation-driven attacks (TapTrap 2025)，即使在 Android 15+（无需 overlay 权限）。
• 尝试 overlay / SYSTEM_ALERT_WINDOW clickjacking 以及 Accessibility Service 滥用 以尝试权限提升。
• 检查 adb backup / bmgr backupnow 是否仍能导出应用数据（忘记禁用 allowBackup 的应用）。
• 探测 Binder 级别的 LPEs（例如 CVE-2023-20963, CVE-2023-20928）；在允许的情况下使用内核模糊或 PoC。
• 如果强制使用 Play Integrity / SafetyNet，尝试运行时 hook（Frida Gadget, MagiskIntegrityFix, Integrity-faker）或网络层重放。
• 使用现代工具进行检测：
• Objection > 2.0, Frida 17+, NowSecure-Tracer (2024)
• 使用 perfetto / simpleperf 进行系统范围的动态追踪。

Some obfuscation/Deobfuscation information

• Read here

参考资料

• CVE-2025-59489 – Unity Runtime 任意代码执行 (blog)