Пентест для Android. Используем Drozer для исследования безопасности приложений

Се­год­ня Drozer счи­тает­ся уста­рев­шим инс­тру­мен­том, но он до сих пор отлично помога­ет быс­тро получить информа­цию о при­ложе­нии и его сла­бых мес­тах. Рекомен­дуемый спо­соб запус­кать drozer — исполь­зуя Docker:

Drozer работа­ет в связ­ке с аген­том, уста­нов­ленным на устрой­стве или эму­лято­ре, ска­чать его мож­но здесь. Его сле­дует уста­новить на устрой­ство:

Да­лее запус­каем агент и нажима­ем кноп­ку Embedded Server вни­зу экра­на. Пос­ле это­го к сер­веру мож­но под­клю­чить­ся, перей­дя в кон­соль Drozer:

В качес­тве подопыт­ного при­ложе­ния будем исполь­зовать DIVA (Damn Insecure and Vulnerable App). APK не име­ет циф­ровой под­писи, поэто­му перед уста­нов­кой его необ­ходимо под­писать, нап­ример c помощью uber-apk-signer.

Активности

Ти­пич­ный ворк­флоу Drozer выг­лядит так. Сна­чала получа­ем информа­цию об уста­нов­ленных при­ложе­ниях:

На­ходим в спис­ке подопыт­ное при­ложе­ние и получа­ем информа­цию о нем:

За­тем выяс­няем, какие ком­понен­ты мож­но попытать­ся исполь­зовать для экс­плу­ата­ции:

Об­раща­ем вни­мание, что в при­ложе­нии вклю­чен флаг отладки. Далее получа­ем спи­сок активнос­тей:

Про­буем их запус­тить:

Смысл это­го дей­ствия в том, что­бы про­верить, не тор­чат ли наружу внут­ренние активнос­ти при­ложе­ния, которые не дол­жны быть дос­тупны извне. Воз­можно, эти активнос­ти содер­жат кон­фиден­циаль­ную информа­цию.

Про­веря­ем:

Дей­стви­тель­но, активность APICredsActivity содер­жит некий ключ API, имя поль­зовате­ля и пароль. Активность APICreds2Activity содер­жит окно с полем для вво­да ПИН‑кода.

Две активнос­ти DIVA

Обе эти активнос­ти явно дол­жны исполь­зовать­ся толь­ко внут­ри при­ложе­ния, но по «нев­ниматель­нос­ти» раз­работ­чик забыл сде­лать их неэк­спор­тиру­емы­ми (android:exported="false").

Перехват интентов

Еще инте­рес­нее, ког­да прог­раммист не толь­ко забыва­ет сде­лать внут­реннюю активность при­ложе­ния неэк­спор­тиру­емой, но и работа­ет с ней не нап­рямую, а исполь­зуя широко­веща­тель­ные интенты. Допус­тим, в при­ложе­нии есть такой код, который исполь­зует широко­веща­тель­ный интент "com.example.ACTION", что­бы запус­тить активность (передав ей при этом кон­фиден­циаль­ные дан­ные):