Hooker: Automatisierte dynamische Analyse von Android-Anwendungen

==========================================================

Über Hooker

Funktionale Beschreibung

Hooker ist ein Open-Source-Projekt für die dynamische Analyse von Android-Anwendungen. Dieses Projekt bietet verschiedene Tools und Anwendungen, die verwendet werden können, um API-Aufrufe einer Zielanwendung automatisch abzufangen und zu modifizieren.

Es nutzt das Android-Substrate-Framework, um diese Aufrufe abzufangen und alle ihre Kontextinformationen (Parameter, Rückgabewerte, ...) zu sammeln. Die gesammelten Informationen können entweder in einer ElasticSearch-Datenbank oder in JSON-Dateien gespeichert werden.

Es wird auch eine Reihe von Python-Skripten bereitgestellt, um die Durchführung einer Analyse zur Sammlung aller API-Aufrufe einer Reihe von Anwendungen zu automatisieren.

Haftungsausschluss

Android-Hooker ist ein Proof-of-Concept, der auf dem Substrate-Framework basiert. Das bedeutet, dass Hooker nicht funktionieren kann, wenn Substrate nicht korrekt auf Ihrem Gerät installiert ist. Derzeit haben die Autoren Substrate erfolgreich auf Geräten mit Android-Versionen 4.1 und 4.2 installiert. Wenn Sie wissen, wie Substrate auf höheren Versionen installiert wird, lassen Sie es uns bitte per E-Mail an [email protected] wissen. Wir werden uns freuen, dies in das Projekt zu integrieren.

Technische Beschreibung

Hooker besteht aus mehreren Modulen:

APK-instrumenter ist eine Android-Anwendung, die vor der Analyse auf einem Android-Gerät (z. B. einem Emulator) installiert werden muss.
hooker_xp ist ein Python-Tool, mit dem das Android-Gerät gesteuert und die Installation und Stimulation einer Anwendung darauf ausgelöst werden kann.
hooker_analysis ist ein Python-Skript, mit dem in der Elasticsearch-Datenbank gespeicherte Ergebnisse gesammelt werden können.
tools/APK-contactGenerator ist eine Android-Anwendung, die automatisch von hooker_xp auf dem Android-Gerät installiert wird, um gefälschte Kontaktinformationen zu injizieren.
tools/apk_retriever ist ein Python-Tool, mit dem APKs von verschiedenen öffentlichen Android-Märkten heruntergeladen werden können.
tools/emulatorCreator ist eine Sammlung von Skripten, mit denen ein Emulator vorbereitet werden kann.

Weitere Informationen

Webseite: https://github.com/AndroidHooker/hooker
FAQ ist hier verfügbar.
Bug-Tracker: Fehler- und Funktionsanfragen werden in GitHub Issues organisiert.
E-Mail: [email protected]
Twitter: Folgen Sie den Autorenkonten (@Tibapbedoum und @Lapeluche)

Erste Schritte

Wir haben Hooker auf einem Debian-64-Bit-System entwickelt, daher kann es auf anderen Systemen aufgrund falscher Pfade oder Parameter fehlschlagen. Ihre Hilfe bei der Identifizierung dieser Inkompatibilitäten wird sehr geschätzt. Bitte melden Sie ein Problem in unserem Bug-Tracker, wenn Sie bei der Verwendung auf Fehler stoßen.

Um Hooker zu verwenden, benötigen Sie mindestens einen Server, auf dem Sie Folgendes installiert haben:

python 2.7,
elasticsearch 1.7,
kibana 4.1,
Android 4.1 and 4.2,
androguard 1.9.

Einrichtung Ihres ElasticSearch-Hosts

Dieser Schritt betrifft die ElasticSearch-Installation. Bitte laden Sie die Online-Dokumentation von ElasticSearch herunter und folgen Sie ihr: http://www.elasticsearch.org/overview/elkdownloads/. Sie können ElasticSearch entweder auf einem einzelnen Host installieren oder einen Cluster von ElasticSearch-Knoten bereitstellen.

Einrichtung des Android SDK

Sie können das Android-Bundle hier herunterladen. Wenn Sie das Hooker-Installationsskript verwenden möchten, müssen Sie:

Stellen Sie sicher, dass Sie Ihre ANDROID_HOME-Umgebungsvariable setzen: $ export ANDROID_HOME=/path/to/your/sdk/folder
Laden Sie die SDK-APIs von Ihrem SDK-Manager herunter.

Installation

Ein Installationsskript wird bereitgestellt, um Ihnen beim Erstellen und Installieren aller erforderlichen Abhängigkeiten zu helfen. Wenn Sie dieses Skript verwenden möchten, stellen Sie sicher, dass Sie die folgenden Abhängigkeiten haben:

# openjdk-7-jdk, ant, python-setuptools (just apt install them)

Wenn alles bereit ist, führen Sie das Installationsskript im Hooker-Stammverzeichnis aus:

$ ./install.sh

Erstellen Sie Ihr Referenz-Android Virtual Device (AVD)

Überprüfen Sie, dass Sie verfügbare Ziele haben: $ $ANDROID_HOME/tools/android list target.
Starten Sie das automatische Skript für eine einfachere Installation: cd tools/emulatorCreator && python HookerInstaller.py -s SDK_PATH -a Hooker_test -t ANDROID_TARGET -d AVD_DIRECTORY,
Wenn die Python-Logs Sie dazu auffordern:
- Öffnen Sie die SuperSU-App, klicken Sie auf "Continue", um das SU-Binary zu aktualisieren, wählen Sie den "Normal"-Installationsmodus, warten Sie einen Moment. Klicken Sie auf "OK" (NICHT "Reboot"!) und beenden Sie die Anwendung.
- Öffnen Sie die Substrate-App, klicken Sie auf "Link Substrate Files", erlauben Sie Substrate, und klicken Sie erneut auf "Link Substrate Files".
- Installieren Sie die APK-instrumenter APK mit ADB.
- Klicken Sie auf "Restart System (Soft)", wenn das Substrate-Fenster erscheint.
- Warten Sie auf den Neustart des Systems und deaktivieren Sie die Bildschirmsperre: Menu > System Settings > Security > Screen lock > None
- Schließen Sie Ihren Emulator.
Wenn Sie das automatische Skript nicht verwenden möchten, müssen Sie Folgendes beachten:
- Hooker benötigt eine SD-Karte, um ordnungsgemäß zu funktionieren,
- Hooker benötigt die Aktivierung von Snapshots. Vorsicht, wenn Sie android-studio zum Erstellen Ihres AVD verwenden: Es gibt einen Fehler (oder ein Feature, keine Ahnung), der die Verwendung von Snapshots erschwert...

Zu Ihrer Information können Sie sich ein Video zur Vorbereitung eines Emulators hier ansehen

Konfigurieren Sie den Host, auf dem Hooker ausgeführt wird

Wenn sich Ihr Elasticsearch-Host auf einem anderen Host als Ihrem Android-Emulator befindet, müssen Sie den Datenverkehr über das Netzwerk umleiten. Dazu können Sie socat verwenden:

$ socat -s -v TCP4-LISTEN:9200,fork,ignoreeof,reuseaddr TCP4:192.168.98.11:9200,ignoreeof

Wenn Sie einen Fehler bezüglich der OpenGLES-Emulation haben (Could not load OpenGLES emulation library), müssen Sie Ihre ldconfig bearbeiten (als root):

# echo "/path/to/your/sdk/tools/lib" > /etc/ld.so.conf.d/android.conf
# ldconfig

HOOKER ausführen

Sehen Sie sich dieses Video an, um eine Demo zur Durchführung eines manuellen Experiments zur Analyse einer bestimmten Anwendung zu sehen.

Arbeiten mit echten Geräten

Wenn Sie Hooker auf echten Geräten verwenden möchten, lesen Sie bitte zuerst die spezifische README.

Einrichten Ihrer Konfigurationsdatei

Wenn Sie eine manuelle Analyse durchführen möchten, kopieren Sie die Datei hooker_xp/sampleManualAnalysis.conf,
Wenn Sie eine automatische Analyse durchführen möchten, kopieren Sie die Datei hooker_xp/sampleAutomaticAnalysis.conf,
Wenn Sie eine Analyse auf echten Geräten durchführen möchten, kopieren Sie eine der *RealDevice*-Konfigurationsdateien,
Passen Sie je nach Ihrer Systemkonfiguration die verschiedenen Parameter in der ausgewählten Konfigurationsdatei an. Die Beispielkonfigurationsdateien sind sehr ausführlich, lesen Sie daher bitte die Kommentare.
In Bezug auf die vorherigen Schritte müssen Sie den Pfad zu Ihrem gerade erstellten Referenz-AVD angeben. Wie die Kommentare erklären, geben Sie einfach den Pfad + Namen des AVD an, d.h. ohne die .avd-Erweiterung.

Starten Sie ElasticSearch und Kibana

Hooker verwendet ElasticSearch, um Ereignisse zu speichern, und Kibana als Frontend zur Analyse dieser. Um Ihnen bei der Analyse von Anwendungen zu helfen, haben wir ein Kibana-Dashboard-Beispiel im Verzeichnis tools/kibana-dashboard bereitgestellt. Um es zu verwenden, müssen Sie ein erstes Experiment durchführen und dann die Datei filekibana-export.json importieren. Um ein Dashboard zu importieren, müssen Sie zur URL http://localhost:5601 gehen und:

Gehen Sie zu Settings -> Objects,
Klicken Sie auf Import,
Wählen Sie das verfügbare Dashboard aus.

Führen Sie Ihr Experiment aus

Das Python-Experiment-Skript befindet sich im Verzeichnis hooker_xp:

$ cd hooker_xp && python hooker_xp.py -c yourAnalysisConfigurationFile.conf

Sie sollten Python-Logs sehen, die erklären, was passiert.

Mitwirken

Wir würden uns freuen, wenn Sie uns helfen könnten, diese Arbeit zu verbessern. Bitte nutzen Sie die GitHub-Funktionen, um Ihre Fehlerbehebungen und Verbesserungen bereitzustellen.

Autoren und Sponsoren

Das Hooker-Projekt wurde von Georges Bossert und Dimitri Kirchner initiiert. Beide arbeiten für AMOSSYS, ein französisches IT-Sicherheitsunternehmen http://www.amossys.fr.

Lizenz

Diese Software ist unter der GPLv3-Lizenz lizenziert. Die vollständigen Lizenzbestimmungen finden Sie in der Datei LICENSE im obersten Verzeichnis der Distribution.

hooker

Beliebteste