Android अनुप्रयोगों का डायनेमिक परीक्षण

आवेदन के संचालन के दौरान कमजोरियों की पहचान करने के लिए गतिशील परीक्षण किया जाता है। इस लेख में मैं एंड्रॉइड के लिए एप्लिकेशन का परीक्षण करने के कई तरीके साझा करना चाहता हूं। मैं यह भी दिखाऊंगा कि उपकरणों को कैसे कॉन्फ़िगर और कॉन्फ़िगर करना है। कौन परवाह करता है, बिल्ली में आपका स्वागत है।

डायनामिक परीक्षण में एप्लिकेशन लॉग का विश्लेषण करना, एप्लिकेशन ट्रैफ़िक का विश्लेषण करना, ऑपरेशन के दौरान बग ढूंढना आदि शामिल हैं। परीक्षण के लिए, आपको वर्चुअल मशीन को Genimotion पर कॉन्फ़िगर करने की आवश्यकता है, जैसा कि यहां वर्णित है ।

डायनामिक विश्लेषण के लिए कौन से उपकरण उपयोग किए जाते हैं:

• BurpSuite;
• Inspakage;
• लॉग के लिए रीड परमिशन के साथ पिडकट या अन्य एप्लिकेशन।

BurpSuite के साथ परीक्षण कैसे करें

पहले आपको प्रॉक्सी को कॉन्फ़िगर करने और प्रमाणपत्र आयात करने की आवश्यकता है। BurpSuite SSL पिनिंग के लिए एप्लिकेशन की भेद्यता दिखाता है और उन कमजोरियों को खोज सकता है जो उस सर्वर पर मौजूद हैं जिसके साथ एप्लिकेशन संपर्क में है।

1. एक प्रॉक्सी स्थापित करना

सबसे पहले आपको सही प्रॉक्सी सेटिंग्स के लिए इंटरफेस के बारे में जानकारी देखने की जरूरत है।


अंजीर। 1. इंटरफेस के बारे में जानकारी।

BurpSuite पर परदे के पीछे कॉन्फ़िगर करें।


अंजीर। 2. BurpSuite पर प्रॉक्सी सेटिंग्स।

हम उस डिवाइस पर प्रॉक्सी स्थापित करते हैं जिस पर हम परीक्षण करेंगे।


अंजीर। 3. डिवाइस पर प्रॉक्सी सेटिंग्स।

ब्राउज़र में http [:] // burp / दर्ज करें - यह प्रमाणपत्र डाउनलोड करने के लिए आवश्यक है। और काम करने के लिए प्रमाण पत्र डाउनलोड करें। अगला, आपको "डाउनलोड" फ़ोल्डर खोलने की आवश्यकता है, एक डाउनलोड किया गया प्रमाण पत्र है। प्रमाणपत्र पर एक लंबा प्रेस एक मेनू प्रदर्शित करता है जिसमें हम "नाम बदलें" का चयन करते हैं और एक्सटेंशन को .cer में बदलकर प्रमाणपत्र आयात करते हैं।


अंजीर। 4. प्रमाणपत्र डाउनलोड करें /

2. आयात प्रमाण पत्र

हम डिवाइस सेटिंग्स में जाते हैं, "सुरक्षा" आइटम ढूंढते हैं, फिर "एसडी से इंस्टॉल करें" चुनें। "डाउनलोड" फ़ोल्डर से, उस प्रमाणपत्र का चयन करें जिसे डाउनलोड किया गया था और उसका नाम बदला गया था। आपको प्रमाणपत्र को एक नाम देने की आवश्यकता है।


अंजीर। 5. आयात प्रमाण पत्र।


अंजीर। 6. आयात प्रमाण पत्र।

3. प्रमाण पत्र की स्थापना की जाँच करना और बर्पसुइट के माध्यम से यातायात देखना।


अंजीर। 7. प्रमाणपत्र आयात की शुद्धता का परीक्षण करना।


अंजीर। 8. हम डिवाइस से आने वाले अनुरोधों को देखते हैं।

अब आप एपीआई के साथ बातचीत का परीक्षण कर सकते हैं।

एंड्रॉइड 7 के साथ शुरू होने पर, भरोसे के लिए बर्प प्रमाणपत्र जोड़ने का यह तरीका अधिकांश अनुप्रयोगों के लिए काम नहीं करेगा - डिफ़ॉल्ट रूप से, उपयोगकर्ता प्रमाणपत्र अब विश्वसनीय नहीं हैं। इसलिए, आपको रूट करना होगा, प्रमाण पत्र को सही नाम देना होगा और इसे सिस्टम डायरेक्टरी में डालना होगा। (y4ppionlu द्वारा टिप्पणी)
इंस्पेकैज पर परीक्षण कैसे करें

इंस्पेकैज एक उपकरण है जो एंड्रॉइड एप्लिकेशन के गतिशील परीक्षण की अनुमति देता है और आपको यह समझने में मदद करता है कि एप्लिकेशन रनटाइम में क्या कर रहा है। निरीक्षण के साथ आवेदन के संचालन से पता चलता है:

• फ़ाइलें
• डेटाबेस
• क्रिप्टोग्राफी
• http अनुरोध
• पंक्तियां
• लॉग और अन्य

अंजीर। 9. परीक्षण के लिए आवेदन का शुभारंभ।


अंजीर। 10. परीक्षण के लिए आवेदन का शुभारंभ।

आवेदन शुरू करने के बाद, ब्राउज़र में, https [:] // 192 [।] 168 [।] 100 [।] 198 [:] 8008 को एप्लिकेशन कंसोल (छवि 11) पर जाएं।


अंजीर। 11. किसी ब्राउज़र में कंसोल चलाना।

अगला, कंसोल में टैब से गुजरें:

• साझा प्राथमिकताएं - अंजीर। 12 - स्थानीय संसाधनों के साथ आवेदन की बातचीत को दर्शाता है।
• सीरियलाइजेशन - अंजीर। 13
• क्रिप्टो - अंजीर। 14 - क्रिप्टोग्राफी के साथ काम प्रदर्शित करता है (एसएसएल / टीएलएस यहां शामिल नहीं है)
• हैश - अंजीर। 14
• SQLite - चित्र 15
• HTTP - pic। 16 - बर्पसुइट में इस टैब का बेहतर खुलासा किया गया है
• FileSystems - अंजीर। 17 - फाइलों के साथ आवेदन का काम
• आईपीसी - अंजीर। 18, आदि।

अंजीर। 12. वरीयताएँ साझा की गईं।


अंजीर। 13. सीरियलाइजेशन।


अंजीर। 14. क्रिप्टो।


अंजीर। 15. हश।


अंजीर। 16. SQLite।


अंजीर। 17. एचटीटीपी।


अंजीर। 18. फाइल सिस्टम।


अंजीर। 19. आईपीसी।

पिडकट के साथ परीक्षण

Pidcat एक एप्लिकेशन है जो एप्लिकेशन ऑपरेशन लॉग को पढ़ता है। परीक्षण करते समय, आपको एप्लिकेशन के कार्यों को करने की आवश्यकता होती है और देखें कि कार्य लॉग में क्या डेटा गिरता है। मूल रूप से, सेवा की जानकारी वहां प्रदर्शित होती है, ऐसा होता है कि आप कुछ महत्वपूर्ण जानकारी प्राप्त कर सकते हैं, उदाहरण के लिए, एक निजी कुंजी की बैकअप प्रतिलिपि। यदि डिवाइस में मैलवेयर है, तो यह जानकारी किसी हमलावर के हाथ में पड़ सकती है।


अंजीर। 20. निजी कुंजी का बैकअप।


अंजीर। 21. गोपनीय जानकारी।

निष्कर्ष

व्यवहार में, एंड्रॉइड अनुप्रयोगों के बुनियादी गतिशील परीक्षण के तरीके जो हम काम करने के लिए बाइटकोड में उपयोग करते हैं, दिखाए जाते हैं। MobSF ढांचे में स्वचालित परीक्षण के लिए एक मॉड्यूल भी है, लेकिन इसके लिए एक अलग लेख की आवश्यकता होती है।