मोबाइल अनुप्रयोगों का स्थैतिक विश्लेषण

मोबाइल एप्लिकेशन के परीक्षण के चरणों में से एक स्थिर विश्लेषण है। आवेदन का स्थैतिक विश्लेषण किसी भी आवेदन कार्यों के प्रदर्शन के बिना आवेदन का विश्लेषण है। ओपन सोर्स फ्रेमवर्क से मेरे लिए सबसे अधिक सुविधाजनक है MobSF। कौन परवाह करता है, बिल्ली में आपका स्वागत है।

MobSF अनुप्रयोगों का स्थैतिक विश्लेषण करता है: Android, Apple iOS और Windows Phone और गतिशील विश्लेषण: केवल Android अनुप्रयोग। मैं आपको बताऊंगा कि MobSF को समर्पित अगले लेख में गतिशील विश्लेषण कैसे किया जाए। एक अधिक विस्तृत विवरण और स्थापना मैनुअल यहां पाया जा सकता है ।

MobSF को स्थापित करने के बाद, हम सर्वर शुरू करने के लिए निम्न बैच फ़ाइल का प्रदर्शन करेंगे (मैंने खुद के लिए लिखा है, इसलिए ड्राइव डी)।

d: cd .\MobSF\ python .\manage.py runserver 

इसके बाद आपको http [:] // 127.0.0.1:8000 पते पर जाना होगा और मुख्य पृष्ठ खुल जाएगा (चित्र 1)। यहाँ बहुत कार्यात्मक नहीं है:

• फ़ाइल अपलोड;
• पिछले स्कैन की रिपोर्ट देखें;
• एपीआई प्रलेखन पर स्विच करें
• गिथब परियोजना के लिए संक्रमण।

अंजीर। 1. मुख्य पृष्ठ

फ़ाइल डाउनलोड और विश्लेषण किए जाने के बाद, विश्लेषण परिणाम वाला एक पृष्ठ प्रकट होता है (छवि 2)। बाईं ओर एक मेनू है जो आपको पूरे पृष्ठ पर जल्दी से कूदने की अनुमति देता है (परिणाम केवल सरल है)। इस स्क्रीनशॉट में क्या उपयोगी जानकारी है:

• आवेदन हैश राशि
• समर्थित Android ओएस संस्करण
• घटकों की संख्या और प्रकार (निर्यात या नहीं), यह महत्वपूर्ण है, क्योंकि निर्यात किए गए घटक महत्वपूर्ण कमजोरियों को जन्म दे सकते हैं;
• जावा और स्माइली फ़ाइलों को देखने और डाउनलोड करने की क्षमता जो अन्य उपकरणों या मैन्युअल रूप से विश्लेषण की जा सकती है;
• विश्लेषण के लिए मैनिफ़ेस्ट फ़ाइल देखें।

अंजीर। 2. विश्लेषण का परिणाम

हम और आगे बढ़ें। अंजीर में। चित्रा 3 प्रमाण पत्र की जानकारी दिखाता है जिसके द्वारा आवेदन पर हस्ताक्षर किए गए थे।


अंजीर। 3. प्रमाण पत्र की जानकारी

निम्नलिखित अनुमतियों के विश्लेषण का विवरण है, जो AndroidManifest.xml फ़ाइल (छवि 4) में वर्णित हैं। MobSF एप्लिकेशन की अनुमतियों का विश्लेषण करता है, इसकी स्थिति निर्धारित करता है, अनुमतियों की आलोचनात्मकता और विवरण के लिए। यहां आपको एप्लिकेशन की वास्तविक आलोचना के लिए एंड्रॉइड ओएस की वास्तुकला को समझने की आवश्यकता है।


अंजीर। 4. Android अनुमतियों का विश्लेषण

सुरक्षा विश्लेषण -> कोड विश्लेषण टैब (चित्र 5) एक स्थिर विश्लेषक द्वारा जावा कोड विश्लेषण का परिणाम दिखाता है जो संभावित कमजोरियों की पहचान करता है, उनकी गंभीरता और उन फाइलों को निर्धारित करता है जिनमें इस प्रकार की भेद्यता पाई गई थी। कई मायनों में, ये परिणाम झूठे सकारात्मक हैं, लेकिन आपको इसे दोबारा जांचने की आवश्यकता है।


अंजीर। 5. कोड विश्लेषण

अगला टैब (चित्र 6) virustotal.com सेवा पर फ़ाइलों का विश्लेषण है। इस मामले में, फ़ाइल को संक्रमित के रूप में नहीं पाया गया था।


अंजीर। 6. फाइल विश्लेषण

URL टैब (चित्र 7) URL, IP पते और फ़ाइलों की एक सूची प्रदर्शित करता है जिसमें वे संग्रहीत या कहे जाते हैं। यह खंड विश्लेषण करता है कि एप्लिकेशन कहां डेटा भेजता है या कहां यह जानकारी संग्रहीत करता है।


अंजीर। 7. टैब यूआरएल

"स्ट्रिंग्स" टैब (चित्र 8) पाठ फ़ाइलों का विश्लेषण करता है जो रिस निर्देशिका में हैं। एप्लिकेशन का विश्लेषण करते समय, इन फ़ाइलों में हार्डकोड खाते और अन्य संवेदनशील डेटा हो सकते हैं। हालांकि मेरी याद में यह नहीं था।


अंजीर। 8. पाठ फ़ाइलों का विश्लेषण

"अवयव" टैब (चित्र। 9) एक विस्तार को परिभाषित किए बिना घटकों (गतिविधि, सेवा, सामग्री प्रदाता और प्राप्त करता है), आयातित पुस्तकालयों और फ़ाइलों की पूरी सूची प्रदर्शित करता है।


अंजीर। 9. घटकों की सूची

इसके अतिरिक्त, स्रोत कोड विश्लेषण VCG स्कैनर स्थिर विश्लेषक का उपयोग करके किया जा सकता है। VCG को सोर्स कोड की जरूरत होती है। स्रोत कोड डाउनलोड जावा कोड बटन (छवि 10) के माध्यम से डाउनलोड किया जा सकता है। फ़ाइल को एक ज़िप संग्रह में डाउनलोड किया गया है। इसके बाद, आपको संग्रह (छवि 11) से फ़ाइलों के साथ फ़ोल्डर निकालने की आवश्यकता है।


अंजीर। 10. सोर्स कोड डाउनलोड करना


अंजीर। 11. सोर्स कोड निकालना

स्रोत कोड को स्कैन करना निम्नानुसार किया जाता है:

1. "सेटिंग" टैब में, "जावा" चुनें - चित्र 12।
2. "फ़ाइल" टैब में, "नई लक्ष्य निर्देशिका" चुनें - चित्र 13।
3. "स्कैन" टैब में, "पूर्ण स्कैन" चुनें - चित्र 14।

अंजीर। 12. स्रोत कोड चयन


अंजीर। 13. फाइलों के साथ एक निर्देशिका अपलोड करना


अंजीर। 14. स्कैन शुरू करें

स्कैन पूरा होने के बाद, स्कैनर भेद्यता के नाम, इसकी जीवन शक्ति, एक संक्षिप्त विवरण और स्रोत कोड में जगह प्रदर्शित करता है (चित्र 15)। आप कमजोरियों की पूरी सूची प्राप्त कर सकते हैं और उनकी आलोचनात्मकता के आधार पर उन्हें क्रमबद्ध कर सकते हैं (चित्र 16)।


अंजीर। 15. कमजोरियों का विवरण


अंजीर। 16. कमजोरियों की पूरी सूची

निष्कर्ष

अनुप्रयोग और स्रोत कोड का स्थैतिक विश्लेषण आवेदन की वास्तुकला और संभावित हमले वैक्टर के बारे में बुनियादी अवधारणाएं प्रदान करता है। बाइटकोड द्वारा उपयोग की जाने वाली कार्यप्रणाली के अनुसार , यह उसके पास है कि क्लाइंट से आए किसी भी एप्लिकेशन का विश्लेषण सबसे महत्वपूर्ण है।