Android

Mobile / Android: Базовые проверки

Инструменты: objection, frida, frida-tools, ida/ghidra, jadx, dex2jar, bytecodeviewer, apktool

• Зафиксировать версию приложения, тестирование которого происходит

• Backups: сделать заметки (скрины, если необходимо) по тому, что и где хранится. Если приложение хранит перс данные, указать в каком виде и какой набор этих данных. Если приложение позволяет создать бэкап своих данных — указать.

• Забрать APK-образ приложения с устройства и загрузить в MobSF. Если mobsf что покажет — зафиксировать

• Наличие встроенного механизма SSL Pinning для всех запросов приложения. Если есть — написать frida-хуки обхода, чтобы весь трафик приложения мы могли видеть в Burp Suite. Если обход не получается, написать хуки для логирования запросов в консоль.

• Objection или MobSF: с какими флагами собраны бинари (скрин или в виде таблицы)? Если есть нативные библиотеки, перечислить все компоненты, в которых эта библиотека подгружается (System.loadLibrary()).

• adb logcat: Проверить логи. Если видим запросы, какие-то данные о клиенте и/или работе приложения (ошибки и тп) — оформляем как Information Disclosure

• Собираем строки из APK-образа (IDA для библиотек, MobSF для самого приложения). Ищем артифакты сборки и информацию о тестовых стендах, настройках тестовых сред и тп

• AppLinks и Universal Links: какие в приложении объявлены, как используются, какие параметры принимают. Примеры линков

• Перечислить доступные для взаимодействия компоненты приложения (сервисы, ресиверы, активити, провайдеры и тд). Какие параметры обрабатываются в Intent-объектах.

• Какие параметры в Intent'ах ожидают другие компоненты? Перечислить.

• WebView: используется приложением WebView-компоненты? Для каких целей? С какими настройками запускается каждый компонент WebView? Используется ли метод addJavascriptInterface(...) ?

• Объявлены ли или запрашиваются ли в приложении кастомные разрешения (permissions)? Если да, перечислить их и провести вот эти проверки: https://blog.oversecured.com/Common-mistakes-when-using-permissions-in-Android/

• Позволяет приложение делать скрины экрана?