apk-interceptor

مساعد تقييم الروابط العميقة (Deeplink) وIntent وجسر WebView لنظام Android

apk-interceptor هو ملف APK اختباري محمول لتقييم أمان التطبيقات بعد الحصول على إذن. يساعد مهندسي الأمان في التحقق من كيفية تعامل تطبيق Android مع نقاط الدخول الخارجية مثل مخططات URI المخصصة، والروابط العميقة، والأنشطة المصدرة (Exported Activities)، وجسور JavaScript في WebView.

الأداة مقيدة عمداً:

• لا تعلن عن android.permission.INTERNET
• لا ترسل البيانات إلى خوادم خارجية
• لا تنفذ أوامر shell
• لا تتطلب صلاحية الجذر (root) أو Magisk أو Frida أو أدوات الحقن أثناء التشغيل
• تقدم ملف حمولة واحد محلي عبر content://
• تسجل مخطط URI مخصص واحد مثبت في وقت البناء

الدافع

خلال تقييم أمان تطبيقات Android، لا تزال العديد من النتائج من التحليل الثابت تحتاج إلى دليل إثبات صغير على الجهاز قبل تأكيدها: تسجيل مخطط URI مخصص، إرسال Intent صريح، تقديم حمولة محلية عبر content://، أو التحقق مما إذا كان JavaScript يمكنه الوصول إلى جسر WebView.

بناء تطبيق اختبار مؤقت جديد لكل حالة متكرر وعرضة للخطأ. الاختلافات الصغيرة في إدخالات البيان، والسلطات (authorities)، ومنح URI، وأسماء الحزم، أو بناء Intent يمكن أن تبطئ التحقق وتجعل النتائج أصعب في التكرار.

تم إنشاء apk-interceptor لجعل خطوة التأكيد قابلة للتكرار. بدلاً من كتابة تطبيق PoC جديد لكل تقييم، تقوم ببناء هذه الأداة باستخدام المخطط المخول أو معرف التطبيق الذي تحتاجه، وتجري الاختبار على الجهاز، وتحافظ على سير العمل مقيداً بالتصميم: بدون إذن INTERNET، بدون نقل بيانات خارجي، بدون تنفيذ أوامر shell، وبدون اعتماد على الجذر.

ما يمكنك اختباره

apk-interceptor مفيد لمهام التقييم التالية:

شروحات مفصلة للثغرات:

• اختفاء مخطط URI مخصص
• إعادة التوجيه المفتوح للرابط العميق
• نشاط مصدر مع بيانات Intent غير موثوقة
• كشف جسر JavaScript في WebView عبر content://

يحتفظ التطبيق بسجل تقييم في الذاكرة لـ Intents المرسلة، والروابط العميقة المستقبلة، واستدعاءات الجسر، ونتائج JavaScript، والأخطاء. تختفي السجلات عند إنهاء عملية التطبيق. نظراً لأن السجلات لا تستمر، التقط الأدلة باستخدام لقطات الشاشة أو تسجيل الشاشة أثناء العمل.

مقارنة مع الأدوات الأخرى

apk-interceptor هو أداة تأكيد، وليس إطار اكتشاف أو استغلال. يفترض أنك تعرف بالفعل ما تريد اختباره (المخطط، فئة النشاط، اسم الجسر) من التحليل الثابت، ويمنحك طريقة آمنة على الجهاز للتحقق من الوصول والتقاط الأدلة. تم بناؤه ليتم تثبيته على جهاز تقييم وحتى مشاركته مع عميل، لذلك لا يشمل إذن INTERNET، ولا تنفيذ أوامر shell، ولا تسريب بيانات، ولا يتطلب صلاحية الجذر.

أين يقع بجانب الأدوات المعتادة لنظام Android:

المجالان اللذان يتمتع فيهما apk-interceptor بميزة واضحة على البدائل:

• دليل اختطاف المخطط: العمل كالتطبيق الثاني الذي يسجل المخطط فعلياً ويوثق كل معلمة تم استلامها، وهو ما لا يمكن لـ adb/التحليل الثابت إظهاره.
• التحقق من content:// → جسر WebView: مزود غير مصدر بملف واحد يتم تسليم حمولته فقط من خلال منح قراءة Intent مؤقت، بالإضافة إلى WebView محلي للاختبار الذاتي للتحقق من صيغة الحمولة أولاً.

الإرسال مقابل الاعتراض

يتعامل apk-interceptor مع الإرسال والاعتراض بشكل مختلف، وهذا هو أهم شيء يجب فهمه قبل الاستخدام:

لإرسال رابط عميق مصمم إلى التطبيق المقيم، لا تحتاج إلى إعادة بناء: استخدم وضع الرابط العميق الضمني (Implicit Deeplink) في علامة التبويب Sender واكتب أي URI.

لاعتراض رابط عميق، أي جعل Android يوجه مخطط مخصص إلى apk-interceptor حتى تتمكن من ملاحظة احتمال اختطاف المخطط، يجب بناء APK بهذا المخطط باستخدام --scheme. يتم تثبيت المخطط في وقت البناء عن قصد (كميزة أمان تصميمية)؛ لا يسجل apk-interceptor مخططات عشوائية في وقت التشغيل. إذا قمت بتغيير المخطط الذي تقيمه، قم بإعادة البناء وإعادة التثبيت.

المتطلبات

• Android Studio مع Android SDK 35
• جهاز يعمل بنظام Android 12+ أو محاكي
• JDK 17+
• adb لتثبيت الجهاز واختبار سطر الأوامر الاختياري

البناء والتثبيت

قم ببناء APK باستخدام مخطط URI المخصص الذي لديك الإذن بتقييمه:

./build-interceptor.sh --scheme <authorized_custom_scheme>
adb install ./out/apk-interceptor-<authorized_custom_scheme>-debug.apk

علامات البناء الاختيارية:

./build-interceptor.sh \
  --scheme <authorized_custom_scheme> \
  --app-id <custom.application.id> \
  --output ./out

--app-id يحدد معرف التطبيق المثبت (هوية الحزمة على الجهاز وسلطة content://<applicationId>.payload) في وقت البناء. الافتراضي هو com.sterrasec.apkinterceptor. قم بتجاوزه باستخدام --app-id عندما تحتاج إلى إصدارات متعددة قابلة للتثبيت بشكل منفصل لتقييمات مختلفة. المكافئ لنظام Windows هو build-interceptor.bat.

المخطط الافتراضي intercept-poc-example هو عنصر نائب غير ضار. يرفض سكريبت البناء إنتاج APK تقييم بهذا المخطط الافتراضي.

التشغيل الأول

في التشغيل الأول لكل إصدار من التطبيق، يعرض apk-interceptor مربع حوار الاستخدام المأذون. بعد النقر على أنا أفهم، لا يظهر مربع الحوار مرة أخرى لنفس الإصدار. لا تزال علامة التبويب Sender تظهر تحذيراً مستمراً لأنه يمكنها إرسال Intents إلى تطبيقات أخرى.

لقطات الشاشة

Sender	Payload	Interceptor

وحدات التطبيق

Interceptor

استخدم علامة التبويب هذه للتحقق من اعتراض مخطط URI المخصص.

ماذا يعرض:

• المخطط المضمن في هذا APK
• تحذير إذا كان المخطط الافتراضي الوهمي لا يزال قيد الاستخدام
• سجلات الروابط العميقة المستلمة
• حقل معامل اختبار الاستعلام
• إرسال رابط اختبار عميق (Send Test Deeplink)
• مسح (Clear)

سير العمل الأساسي:

1. قم ببناء APK باستخدام المخطط المخصص المقيم.
2. قم بتثبيته بجانب التطبيق المقيم.
3. قم بتفعيل رابط عميق لهذا المخطط من التدفق المقيم، أو المتصفح، أو adb، أو الزر المدمج إرسال رابط اختبار عميق.
4. إذا قام Android بتوجيه الرابط إلى apk-interceptor، افتح علامة التبويب Interceptor وراجع URI والمعاملات المستلمة.

حول إرسال رابط اختبار عميق: يرسل دائماً <scheme>://test?<your params> مع مضيف test ثابت، لذا فهو مخصص لتأكيد أن apk-interceptor يستلم المخطط ويسجله، وليس لدفع مسارات الرابط العميق المحددة للتطبيق المقيم. لإرسال رابط عميق مصمم يتطابق مع المضيف أو المسار المطلوب للتطبيق المقيم، استخدم وضع الرابط العميق الضمني في علامة التبويب Sender بدلاً من ذلك.

مثال adb:

adb shell am start -W \
  -a android.intent.action.VIEW \
  -d 'my-authorized-scheme://test?source=adb\&message=hello%20world'

استخدم \& عند إرسال معاملات استعلام متعددة عبر adb shell؛ وإلا فقد تتعامل شل الجهاز مع & كفاصل أوامر.

النتيجة المتوقعة:

• يفتح apk-interceptor إلى علامة التبويب Interceptor
• يظهر إدخال سجل RECEIVED
• يؤدي النقر على إدخال السجل إلى توسيع URI الكامل وقائمة المعاملات

Sender

استخدم علامة التبويب هذه لإرسال Intents محكومة أثناء اختبار مأذون.

الأوضاع:

• الرابط العميق الضمني (Implicit Deeplink): يرسل Intent(ACTION_VIEW, Uri.parse(uri))
• النشاط الصريح (Explicit Activity): يرسل Intent إلى حزمة وفئة نشاط محددة

الحقول وعناصر التحكم:

• URI لوضع الرابط العميق الضمني
• اسم الحزمة (Package name) لوضع النشاط الصريح
• فئة النشاط (Activity class) لوضع النشاط الصريح
• إرفاق URI من نوع content:// لتعيين URI الحمولة المحلية كبيانات Intent (يظهر في وضع النشاط الصريح فقط؛ انظر الملاحظة أدناه)
• FLAG_GRANT_READ_URI_PERMISSION لمنح الإذن بالقراءة لـ URI الحمولة المرفقة
• إرسال Intent (Send Intent)

سير العمل للرابط العميق الضمني:

1. حدد الرابط العميق الضمني.
2. أدخل URI يطابق نمط الرابط العميق للتطبيق المقيم.
3. انقر على إرسال Intent.
4. لاحظ سلوك التطبيق المقيم وسجل apk-interceptor.

سير العمل للنشاط الصريح:

1. تأكد من أن النشاط المستهدف مصدر ومشمول في التفويض.
2. حدد النشاط الصريح.
3. أدخل اسم حزمة التطبيق المقيم.
4. أدخل اسم فئة النشاط المصدر.
5. اختيارياً، قم بتفعيل إرفاق URI من نوع content://.
6. انقر على إرسال Intent.

ملاحظات:

• لا يعرف apk-interceptor ما إذا كان التطبيق المقيم قد تعامل مع Intent بأمان. يجب عليك ملاحظة سلوك التطبيق المقيم أو السجلات أو أدوات الاختبار.
• إرفاق content:// مفيد عند اختبار ما إذا كان النشاط المستهدف يمرر بيانات Intent غير موثوقة إلى WebView.
• إرفاق URI من نوع content:// متاح فقط في وضع النشاط الصريح. يتم تسليم الحمولة كـ data الخاصة بـ Intent، مما قد يلغي URI الذي تكتبه في وضع الرابط العميق الضمني، لذا يكون الخيار مخفياً هناك.
• PayloadProvider غير مصدر. يستطيع التطبيق المقيم قراءة الحمولة content:// المرفقة فقط لأن Intent يمنحه إذن قراءة مؤقتاً عبر FLAG_GRANT_READ_URI_PERMISSION. ابق هذا العلم مفعلاً، وقم بتسليم URI عبر Intent. لن يكون URI content:// المفتوح بأي طريقة أخرى قابلاً للقراءة بواسطة تطبيق آخر.

Payload

استخدم علامة التبويب هذه لإنشاء حمولة HTML محلية والتحقق من صيغة جسر JavaScript في WebView الاختبار الذاتي الخاص بـ apk-interceptor.

ما تحتوي عليه:

• محرر HTML
• محرر JavaScript الذي يتم تقييمه بعد تحميل الصفحة
• اسم كائن الجسر (Bridge object name)
• URI content:// المُنشأ
• حفظ الحمولة (Save Payload)
• تشغيل الاختبار الذاتي (Run Self-Test)
• WebView الاختبار الذاتي
• سجلات نتائج الجسر وconsole

صيغة URI الحمولة المُنشأة:

content://<applicationId>.payload/current.html

يخدم المزود هذا الملف الثابت فقط:

filesDir/payloads/current.html

سير العمل للاختبار الذاتي للحمولة:

1. أدخل أو الصق HTML في حقل HTML.
2. أدخل اسم كائن الجسر الذي تريد اختباره محلياً، مثلاً localBridge.
3. أضف JavaScript إما داخل HTML الخاص بك أو في محرر JavaScript.
4. انقر على حفظ الحمولة.
5. انقر على تشغيل الاختبار الذاتي.
6. راجع إدخالات BRIDGE_RESULT وconsole.log وevaluateJavascript result في السجل.

مثال لـ JavaScript للاختبار الذاتي:

console.log("payload loaded");
window.localBridge.logResult(window.localBridge.getInfo());

يعرض جسر الاختبار الذاتي:

window.<bridgeName>.logResult("message");
window.<bridgeName>.getInfo();

قيود مهمة:

يؤكد WebView الاختبار الذاتي أن حمولتك المحلية وصيغة استدعاء الجسر تعملان داخل apk-interceptor. لا يمكنه ملاحظة ما إذا كان WebView تطبيق آخر قد نفذ حمولتك أو استدعى جسره الخاص. بالنسبة للتطبيق المقيم، تحقق من خلال واجهة المستخدم الخاصة بذلك التطبيق أو السجلات أو خطافات الاختبار أو Chrome DevTools إذا كان التطبيق قابلًا للتصحيح (debuggable).

سير العمل الموجه للثغرات

1. اختطاف مخطط URI مخصص

المخاطرة:

يسجل تطبيق Android مخطط URI مخصص بدلاً من رابط تطبيق تم التحقق منه (App Link). يمكن لأي تطبيق آخر تسجيل نفس المخطط، لذا قد يعرض Android محدد تطبيق أو يوجه الروابط إلى تطبيق مختلف.

استخدم apk-interceptor للتحقق من:

• ما إذا كان يمكن تسجيل المخطط بواسطة تطبيق آخر
• ما إذا كان Android يعرض apk-interceptor كمعالج
• ما إذا كانت القيم الحساسة تظهر في معاملات الرابط العميق

الخطوات:

1. حدد المخطط المخصص للتطبيق المقيم من بيانه أو وثائقه.
2. قم ببناء apk-interceptor بهذا المخطط.
3. قم بتثبيت apk-interceptor والتطبيق المقيم على نفس جهاز الاختبار.
4. قم بتفعيل رابط عميق من تدفق الاختبار المأذون.
5. إذا استلمه apk-interceptor، افحص سجل Interceptor.

الأدلة التي يجب التقاطها:

• سلوك محدد OS، إذا ظهر
• URI المستلم بالكامل
• معاملات الاستعلام وما إذا كانت تحتوي على قيم حساسة
• التفاعل المطلوب من المستخدم لتوجيه الرابط

2. حقن معاملات الرابط العميق

المخاطرة:

يثق التطبيق المقيم في معاملات الرابط العميق للتنقل أو تحميل URL أو أعلام الميزات أو اختيار الحساب أو العرض دون تحقق كافٍ.

استخدم apk-interceptor للتحقق من:

• ما إذا كانت المعاملات المصممة مقبولة
• ما إذا كان التطبيق يتنقل إلى شاشة غير مقصودة
• ما إذا تم استخدام قيم URL/مسار/محتوى غير آمنة

الخطوات:

1. حدد تنسيق الرابط العميق للتطبيق المقيم.
2. افتح Sender.
3. حدد الرابط العميق الضمني.
4. أدخل URI اختبار مأذون مع معاملات محكومة.
5. انقر على إرسال Intent.
6. لاحظ سلوك التطبيق المقيم.

عنصر نائب مثال:

my-authorized-scheme://open?next=https%3A%2F%2Fauthorized-test.example%2Flanding

لا تستخدم نطاقات أو حسابات تابعة لجهات خارجية حقيقية ما لم تكن صراحة ضمن النطاق.

3. التحكم في الوصول للنشاط المصدر

المخاطرة:

يقوم النشاط المصدر بإجراءات حساسة أو يعرض بيانات حساسة دون التحقق من المتصل أو حالة المستخدم أو التصريح المطلوب.

استخدم apk-interceptor للتحقق من:

• ما إذا كان النشاط المصدر يتم تشغيله من تطبيق آخر
• ما إذا كان يقوم بسلوك حساس دون الفحوصات المتوقعة
• ما إذا كانت بيانات Intent تغير سلوكه

الخطوات:

1. تأكد من أن النشاط مصدر ومشمول في النطاق.
2. افتح Sender.
3. حدد النشاط الصريح.
4. أدخل اسم الحزمة وفئة النشاط.
5. اختيارياً، قم بإرفاق URI الحمولة المحلية content://.
6. انقر على إرسال Intent.
7. لاحظ ما إذا كان التطبيق المقيم يطبق التحكم في الوصول.

الأدلة التي يجب التقاطها:

• تم تشغيل النشاط أو منعه
• أي طلب مصادقة أو تخويل
• كشف إجراء حساس أو بيانات
• استخدام بيانات Intent بواسطة النشاط

4. كشف جسر JavaScript في WebView عبر content://

المخاطرة:

يقوم التطبيق المقيم بتحميل بيانات content:// غير موثوقة من Intent إلى WebView يعرض أيضاً جسر JavaScript عبر addJavascriptInterface.

استخدم apk-interceptor للتحقق من:

• ما إذا كان يمكن تسليم حمولة HTML محلية كـ content://
• ما إذا كان WebView الهدف يقوم بتحميل الحمولة
• ما إذا كان JavaScript من هذا المصدر يمكنه الوصول إلى الجسر

الخطوات:

1. حدد النشاط الهدف واسم كائن الجسر أثناء التحليل المأذون.
2. افتح Payload.
3. أنشئ HTML/JS يستدعي الجسر المتوقع.
4. استخدم تشغيل الاختبار الذاتي للتحقق من صيغتك محلياً.
5. افتح Sender.
6. حدد النشاط الصريح.
7. أدخل الحزمة الهدف وفئة النشاط.
8. قم بتفعيل إرفاق URI من نوع content:// وابق FLAG_GRANT_READ_URI_PERMISSION مفعلاً.
9. انقر على إرسال Intent.
10. لاحظ التطبيق المقيم لتحديد ما إذا كان WebView الخاص به قد قام بتحميل الحمولة وتم تنفيذ استدعاءات الجسر.

قيود مهمة:

لا يمكن لـ apk-interceptor استلام نتائج من تطبيق آخر ما لم يقم ذلك التطبيق بإرجاعها أو عرضها صراحة. الأداة مصممة لتسليم حمولة محلية والتحقق من الصيغة، وليس لتسريب البيانات.

فحوصات سطر الأوامر

تحقق من أن APK لا يطلب الوصول إلى الشبكة:

aapt dump permissions ./out/apk-interceptor-<scheme>-debug.apk

المتوقع: لا وجود لـ android.permission.INTERNET.

قم بتفعيل رابط عميق بشكل صريح إلى apk-interceptor:

adb shell am start -W \
  -n com.sterrasec.apkinterceptor/.InterceptActivity \
  -a android.intent.action.VIEW \
  -d 'my-authorized-scheme://test?source=adb'

قم بتفعيل رابط عميق عبر حلّال Android:

adb shell am start -W \
  -a android.intent.action.VIEW \
  -d 'my-authorized-scheme://test?source=adb'

الأمر الصريح يؤكد سلوك InterceptActivity. الأمر الضمني يؤكد عامل تصفية Intent في البيان وسلوك الحلّال.

الاختبارات

تعمل اختبارات الوحدة على JVM باستخدام Robolectric، لذا لا حاجة لجهاز أو محاكي. تغطي PayloadProvider، بما في ذلك فحوصات القائمة البيضاء للمسار والاجتياز التي تمنع المزود من خدمة أي شيء آخر غير ملف current.html الوحيد.

./gradlew testDebugUnitTest

تكتب نتائج الاختبار إلى app/build/reports/tests/testDebugUnitTest/index.html. يتم تشغيل نفس المهمة في CI عند كل دفع وطلب سحب إلى main.

حواجز الأمان التصميمية

• لا android.permission.INTERNET
• لا نقل بيانات خارجي أو تسريب آلي
• لا ميزة تنفيذ أوامر shell
• لا اعتماد على الجذر أو Magisk أو Frida أو الأدوات
• لا تسجيل مخططات عشوائية في وقت التشغيل
• لا مزود خدمة ملفات عام
• فقط /current.html يتم تقديمه بواسطة PayloadProvider

الترخيص

MIT