Огромная подборка для исследования безопасности Android-приложений
Исследователю безопасности нужен обширный инструментарий и знания. Представляем подборку ресурсов, которая пригодится при анализе Android-приложений.
15К открытий16К показов
Большая подборка инструментов, статей, книг и всего, что может пригодиться исследователю безопасности Android.
- ИнструментыОнлайн-анализаторыСканеры уязвимостей приложенияНастольные инструменты для статического анализаНастольные инструменты для динамического анализаРеверс-инжинирингФаззингОбнаружение переупакованных приложенийСканеры магазина приложенийПрочие инструменты
- Доклады/статьи/книгиДоклады-исследованияКнигиПрочее
- Эксплойты/уязвимости/багиСпискиМалварьBounty-программыКак сообщить об уязвимости
Инструменты
Онлайн-анализаторы
- AndroTotal — простой бесплатный сканер apk.
- Tracedroid — бесплатный динамический анализ apk.
- AVC UnDroid —бесплатный статический анализ apk.
- Mobile Malware Sandbox — бесплатный сервис, который анализирует подозрительные apk на предмет подозрительной активности.
- NVISO ApkScan — бесплатно проверяет apk на наличие вредоносов.
- Virustotal — анализ файлов на наличие угроз. Максимальный размер файла — 128 МБ.
- AppCritique — загрузите apk-файл и получите бесплатную подробную оценку безопасности приложения.
- Платные инструменты:Appknox;Fraunhofer App-ray;IBM Security AppScan Mobile Analyzer;NowSecure Lab Automated — инструмент для тестирования безопасности Android- и iOS-приложений. Lab Automated предоставляет возможность провести статический и динамический анализ на реальных устройствах в облаке и вернуть результат за считанные минуты. Платно.
Сканеры уязвимостей приложения
- QARK — сканер уязвимостей от LinkedIn.
- AndroBugs — фреймворк для поиска уязвимостей.
- Nogotofail — инструмент для тестирования сетевой безопасности приложения.
- Devknox — автоматически исправляет проблемы безопасности так же просто, как IDE проверяет орфографию.
- JAADAS — инструмент внутрипроцедурного и межпроцедурного анализа для поиска уязвимостей в Android-приложениях, написан на Soot и Scala.
Настольные инструменты для статического анализа
- Androwarn — определяет потенциально вредоносное поведение приложения и уведомляет о нём пользователя.
- ApkAnalyser — инструмент для виртуального статического анализа приложений.
- APKInspector — GUI-инструмент для анализа apk.
- Инструменты от университета штата Пенсильвания.
- Генератор Smali CFG.
- FlowDroid — высокоточный статический анализатор.
- Droid Intent Data Flow Analysis for Information Leakage — совмещает в себе FlowDroid и Epicc для обнаружения потенциальных проблем в безопасности приложения.
- Android Decompiler — платный декомпилятор Dalvik, MIPS, ARM и x86.
- PSCout — инструмент, который извлекает спецификацию разрешений из исходного кода Android, используя статический анализ.
- Amandroid — фреймворк для статического анализа.
- SmaliSCA — статический анализ Smali-файлов.
- CFGScanDroid — сканирует CFG приложения и сравнивает его с CFG вредоносных приложений.
- Madrolyzer — извлекает из малвари разные полезные данные вроде C&C.
- SPARTA — проверяет уровень безопасности приложения. Построен на фреймворке Checker.
- RiskInDroid — инструмент для рискового анализа Anrdoid-приложений на основе их разрешений.
- SUPER — анализатор приложений, написанный на Rust.
- StaCoAn — инструмент для статического анализа кода с большим упором на юзабилити и пользовательский интерфейс.
Настольные инструменты для динамического анализа
- Androl4b — виртуальная машина для оценки безопасности Android-приложений, реверс-инжиниринга и анализа потенциальных вредоносов.
- Android Malware Analysis Toolkit — известный Linux-дистрибутив, который раньше был представлен в виде онлайн-анализатора.
- Mobile-Security-Framework MobSF — open source фреймворк для автоматизированного пентестинга мобильных (Android/iOS) приложений. Может выполнять статический и динамический анализ, а также тестирование веб-API.
- AppUse — виртуальная машина для пентестинга.
- Cobradroid – сборка Android, предназначенная для анализа малвари.
- Droidbox — инструмент для динамического анализа, который выдаёт подробный отчёт после завершения работы.
- Drozer — фреймворк для оценки безопасности приложения.
- Inspeckage — динамический анализ с помощью API-хуков (модуль Xposed).
- Android Hooker — автоматизированный динамический анализ Android-приложений. Для работы требуется фреймворк Substrate.
- ProbeDroid — предоставляет API для создания собственных инструментов, которые позволяют проводить трассировку, профилировать и изменять поведение запущенного приложения.
- Android Tamer — платформа для специалистов в безопасности Android. Эта платформа позволяет работать с большим количеством задач, связанных с безопасностью Android, от анализа вредоносов и пентестинга до реверс-инжиниринга.
- DECAF — фреймворк для динамического анализа, основанный на QEMU.
- CuckooDroid — Android-расширение для песочницы Cuckoo.
- Mem — анализ памяти Android (требуется рут).
- Appie — программное обеспечение для пентестинга. Полностью портативен, можно загрузить на флешку или смартфон. Пакет содержит в себе все необходимые инструменты для оценки безопасности приложения и служит прекрасной альтернативой существующим виртуальным машинам.
- Vezir Project — виртуальная машина для пентестинга мобильных приложений и анализа вредоносов.
- MARA — фреймворк для реверс-инжиниринга и анализа мобильных приложений.
Реверс-инжиниринг
- Smali/Baksmali — декомпилятор apk.
- Подсветка синтаксиса для smali-файлов в Emacs.
- Подсветка синтаксиса для smali-файлов в Vim.
- AndBug — Android-дебаггер.
- Androguard — мощный инструмент для реверс-инжинирнга Android-приложений, полностью написанный на Python.
- Apktool — полезный инструмент для компиляции/декомпиляции (использует Smali).
- Android Framework for Exploitation — фреймворк для взлома Android-устройств и приложений.
- Обход подписи и проверки доступа для IPC.
- Android OpenDebug — позволяет проводить отладку любого приложения.
- Конвертеры:Dare — из dex в class;Dex2Jar — из dex в jar;Enjarify — из dex в jar от Google.
- Dedexer — dex-дизассемблер.
- Frida — внедряйте JavaScript-код в приложения для их исследования. Есть GUI-инструмент.
- Indroid — инструмент для удалённых инъекций вредоносного кода в приложения.
- Introspy — инструмент для анализа действий работающего приложения и выявления потенциальных проблем безопасности.
- Java-декомпиляторы:Jad;JD-GUI;CFR;Krakatau;Procyon;FernFlower.
- Redexer — всевозможные манипуляции с apk.
- Simplify — деобфускатор приложений.
- Bytecode Viewer — инструмент с обширными возможностями для реверс-инжиниринга.
- Radare2 — фреймворк для реверс-инжиниринга.
Фаззинг
- IntentFuzzer — фаззер для поиска багов и уязвимостей.
- Android-порт фаззера Radamsa.
- Honggfuzz — простой в использовании фаззер с множеством опций.
- Android-порт ELF-фаззера melkor.
- Media Fuzzing Framework for Android — фреймворк для фаззинга, написанный на Python.
Обнаружение перепакованных приложений
- FSquaDRA — инструмент для обнаружения перепакованных приложений путём сравнения хешей ресурсов приложения.
Сканеры магазина приложений
- Сканер Google play (Java).
- Сканер Google play (Python).
- Сканер Google play (Node) — даёт подробную информацию о приложении и предоставляет возможность скачать его.
- Aptoide-загрузчик (Node) — загрузка приложений из альтернативного магазина приложений Aptoide.
- Appland-загрузчик (Node) — загрузка приложений из альтернативного магазина приложений Appland.
- Apkpure — онлайн-загрузка apk. Есть собственное приложение для загрузки.
Прочие инструменты
- AXMLPrinter2 — преобразование XML-файлов в читабельный вид.
- adb-автодополнение.
- Опкоды Dalvik.
- ExploitMe Android Labs — лаборатории для практики эксплойта.
- GoatDroid — тренировочное окружение для практики эксплойта.
- mitmproxy — HTTP-прокси для пентестеров.
- dockerfile/androguard — Docker-файл для установки зависимостей androguard.
- Android Vulnerability Test Suite — сканирует устройство на предмет наличия известных уязвимостей.
- AppMon — автоматизированная система для мониторинга и изменения API-вызовов нативных приложений на macOS, iOS и Android. Основана на Frida.
Чтение по теме: Большая подборка ресурсов для изучения Android-разработки
Доклады/статьи/книги
Доклады-исследования
- Exploit Database — отчёты об эксплойтах.
- Презентации, связанные с безопасностью Android.
- Хорошая подборка статей о статическом анализе.
Книги
Прочее
- OWASP Mobile Security Testing Guide Manual — руководство OWASP по ИБ тестированию мобильных приложений.
- Android Reverse Engineering 101 by Daniele Altomare — серия статей о реверс-инжиниринге Android-приложений.
- doridori/Android-Security-Reference — справочник по безопасности.
- android app security checklist — чеклист для проверки безопасности приложения.
- Mobile App Pentest Cheat Sheet — шпаргалка по мобильному пентестингу.
- Mobile Security Reading Room — список для чтения, который содержит литературу и другие материалы о мобильном пентестинге, вредоносах, форензике и остальных вещах, связанных с мобильной безопасностью.
Эксплойты/уязвимости/баги
Списки
- Бюллетени по безопасности Android.
- Известные уязвимости Android.
- Состояние исправления уязвимостей устройств.
- Багтрекер Android.
- Exploit Database — огромная база данных разных эксплойтов.
- Google-таблица со списком уязвимостей.
- Классификация потенциально вредоносных приложений от Google Android Security Team.
Малварь
- androguard — open source база данных Android-малвари.
- Репозиторий с образцами Android-малвари.
- Admire — система, позволяющая анализировать разные магазины приложений Android в поиске потенциально вредоносных приложений.
- Drebin — база данных с огромным множеством (более 5000) образцов малвари.
Bounty-программы
- Android Security Reward Program — заработайте до 200,000 $ за нахождение уязвимостей.
Как сообщить об уязвимости
- Android — reporting security issues — официальная инструкция по уведомлению о наличии уязвимости.
- Android Reports and Resources — список раскрытых отчётов Hackerone и других ресурсов.
Чтение по теме: Подборка лучших Android-приложений для взлома и тестирования безопасности
15К открытий16К показов