Slicer

أداة لأتمتة عملية الاستكشاف (recon) لملف APK.

يقبل Slicer مسارًا إلى ملف APK مستخرج، ثم يُرجع جميع الأنشطة (activities) والمستقبلات (receivers) والخدمات (services) التي تم تصديرها (exported) ولها أذونات null ويمكن استفزازها خارجيًا.

ملاحظة: يجب استخراج ملف APK باستخدام jadx أو apktool.

جدول المحتويات

• Slicer
• جدول المحتويات
• الملخص
• الميزات
• التثبيت
• الاستخدام
• مثال على الاستخدام
• شكر وتقدير
• المساهمة
• الدعم

الملخص

لماذا؟

بدأت في برنامج مكافآت الثغرات (bug bounty) منذ حوالي 3 أسابيع (في يونيو 2020) وأحاول جاهدًا مع تطبيقات الأندرويد. لكن لاحظت شيئًا واحدًا وهو أن في جميع التطبيقات هناك أمور معينة يجب علي القيام بها قبل الغوص بعمق. لذا فكرت أنه سيكون من الجيد أتمتة هذه العملية بأداة بسيطة.

لماذا ليس Drozer؟

حسنًا، Drozer وحش مختلف. على الرغم من أنه يكتشف جميع المكونات القابلة للوصول، إلا أنني سئمت من تشغيل تلك الأوامر مرارًا وتكرارًا.

لماذا لا تتم الأتمتة باستخدام Drozer؟

في الواقع، كتبت سكربت bash لتشغيل بعض أوامر Drozer حتى لا أضطر لتشغيلها يدويًا، لكن لا يزال هناك بعض الأمور المملة التي يجب القيام بها. مثل فحص ملف strings.xml لمفاتيح API المختلفة، واختبار ما إذا كانت قاعدة بيانات Firebase متاحة للجمهور، أو ما إذا كانت مفاتيح Google API تلك قد حددت أي حد أقصى للاستخدام أو أي شيء آخر، والكثير من الأمور الأخرى.

لماذا لا يتم البحث في جميع الملفات؟

أعتقد أن أداة مثل grep أو ripgrep ستكون أسرع بكثير للبحث عبر جميع الملفات. لذا إذا كان هناك شيء محدد تريد البحث عنه، فسيكون من الأفضل استخدام تلك الأدوات. ولكن إذا كنت تعتقد أن هناك شيئًا يجب فحصه في جميع ملفات الأندرويد، فلا تتردد في فتح مشكلة (issue).

الميزات

• التحقق مما إذا كان ملف APK قد ضبط android:allowbackup إلى true
• التحقق مما إذا كان ملف APK قد ضبط android:debuggable إلى true.
• إرجاع جميع الأنشطة والخدمات ومستقبلات البث (broadcast receivers) التي تم تصديرها ولها أذونات معدومة. يتم تحديد ذلك بناءً على أمرين:
  • وجود android:exported=true في أي من المكونات دون تعيين إذن.
  • إذا لم يتم ذكر التصدير، فإن Slicer يتحقق مما إذا كانت أي Intent-filters محددة لذلك المكون، وإذا كان الأمر كذلك، فهذا يعني أن المكون تم تصديره افتراضيًا (هذه هي القاعدة المذكورة في وثائق أندرويد).
• التحقق من رابط Firebase لملف APK عن طريق اختباره بخدعة .json.
  • إذا كان رابط Firebase هو myapp.firebaseio.com فسيتم التحقق مما إذا كان https://myapp.firebaseio.com/.json يعيد شيئًا أم يمنح رفض الإذن.
  • إذا كان هذا الشيء مفتوحًا، فيمكن الإبلاغ عنه كخطورة عالية.
• التحقق مما إذا كانت مفاتيح Google API متاحة للجمهور أم لا.
  • يمكن الإبلاغ عن ذلك في بعض برامج المكافآت ولكن بخطورة منخفضة.
  • لكن في معظم الأحيان، الإبلاغ عن هذا النوع من الأشياء سيؤدي إلى ألم "المكرر" (Duplicate).
  • وأيضًا في بعض الأحيان يمكن للشركة إغلاقه كـ "غير قابل للتطبيق" والادعاء أن المفتاح لديه "حد استخدام قصوى" - r/suspiciouslyspecific 😉

التثبيت

• استنساخ هذا المستودع

git clone https://github.com/mzfr/slicer

• cd slicer
• الآن يمكنك تشغيله: python3 slicer.py -h

الاستخدام

الاستخدام بسيط جدًا. الخيارات التالية متاحة:

Extract information from Manifest and strings of an APK

Usage:
        slicer [OPTION] [Extracted APK directory]

Options:

  -d, --dir             path to jadx output directory
  -o, --output          Name of the output file(not implemented)

لم أقم بتطبيق علامة output بعد لأنني أعتقد أنه إذا قمت بتوجيه مخرجات Slicer إلى ملف yaml فسيكون بتنسيق مناسب.

مثال على الاستخدام

• استخراج المعلومات من ملف APK وعرضها على الشاشة.

python3 slicer.py -d path/to/extact/apk -c config.json

شكر وتقدير

وحدة الاستخراج المستخدمة لاستخراج عناوين URL والمسارات مأخوذة من apkurlgrep بواسطة @ndelphit

المساهمة

جميع الميزات المنفذة في هذه الأداة هي أشياء تعلمتها في الأسابيع القليلة الماضية، لذا إذا كنت تعتقد أن هناك أمورًا أخرى يجب فحصها في ملف APK، فيرجى فتح مشكلة (issue) لتلك الميزة وسأكون سعيدًا بتنفيذها :)

الدعم

إذا أردت، يمكنك شراء بعض القهوة لي: