APKHunt | OWASP MASVS Statischer Analysator

APKHunt ist ein umfassendes Tool zur statischen Codeanalyse für Android-Apps, das auf dem OWASP MASVS-Framework basiert. Obwohl APKHunt in erster Linie für Mobile-App-Entwickler und Sicherheitstester gedacht ist, kann es von jedem verwendet werden, um potenzielle Sicherheitslücken im Code zu identifizieren und zu beheben.

Mit APKHunt können mobile Softwarearchitekten oder Entwickler gründliche Code-Reviews durchführen, um die Sicherheit und Integrität ihrer mobilen Anwendungen zu gewährleisten, während Sicherheitstester das Tool nutzen können, um die Vollständigkeit und Konsistenz ihrer Testergebnisse zu bestätigen. Egal, ob Sie ein Entwickler sind, der sichere Apps erstellen möchte, oder ein Infosec-Tester, der für deren Sicherheit verantwortlich ist – APKHunt kann eine unschätzbare Ressource für Ihre Arbeit sein.

HINWEIS: Es basiert auf OWASP MASVS v1.5.0, das im Januar 2023 veröffentlicht wurde.

Black Hat Asia Arsenal 2023

https://www.blackhat.com/asia-23/arsenal/schedule/#apkhunt--owasp-masvs-static-analyzer-31003

🎯 Funktionen

• Scan-Abdeckung: Deckt die meisten SAST (Static Application Security Testing) bezogenen Testfälle des OWASP MASVS-Frameworks ab.
• Scannen mehrerer APKs: Unterstützt das Scannen mehrerer APK-Dateien in einem bestimmten Pfad oder Ordner.
• Optimiertes Scannen: Spezifische Regeln wurden entwickelt, um auf bestimmte Sicherheitslücken (Security Sinks) zu prüfen, was zu einem nahezu genauen Scanvorgang führt.
• Niedrige False-Positive-Rate: Entwickelt, um die genaue Stelle potenzieller Schwachstellen im Quellcode zu identifizieren und hervorzuheben.
• Ausgabeformat: Ergebnisse werden im TXT-Dateiformat zur einfachen Lesbarkeit für Endbenutzer bereitgestellt.

🕸️ Installation

1. git clone https://github.com/Cyber-Buddy/APKHunt.git
2. cd APKHunt
3. go run apkhunt.go

Anforderungen:

• Git installieren: sudo apt-get install git
• Golang installieren: sudo apt install golang-go
• JADX installieren: sudo apt-get install jadx
• Dex2jar installieren: sudo apt-get install dex2jar

Einschränkung:

• Nur unter Linux-Umgebungen unterstützt

⚙️ Verwendung

      _ _   __ __  _   __  _   _                _   
     / _ \ | _ _ \| | / / | | | |              | |  
    / /_\ \| |_/ /| |/ /  | |_| | _   _   _ _  | |_ 
    |  _  ||  __/ |    \  |  _  || | | |/  _  \|  _|                                                                                     
    | | | || |    | |\  \ | | | || |_| || | | || |_                                                                                      
    \_| |_/\_|    \_| \_/ \_| |_/\ _ _ /|_| |_|\_ _|                                                                                     
    ------------------------------------------------                                                                                     
    OWASP MASVS Statischer Analysator  

    APKHunt Verwendung:                                                                                                                       
          go run apkhunt.go [options] {.apk file}                                                                                        

    Optionen:                                                                                                                             
         -h     Für Hilfe                                                                                                                 
         -p     Geben Sie den APK-Dateipfad an
         -m     Geben Sie den Ordnerpfad zum Scannen mehrerer APKs an
         -l     Für Protokollierung (.txt-Datei)

    Beispiele:                                                                                                                            
         APKHunt.go -p /Downloads/android_app.apk                                                                                        
         APKHunt.go -p /Downloads/android_app.apk -l
         APKHunt.go -m /Downloads/android_apps/
         APKHunt.go -m /Downloads/android_apps/ -l

📱 Abdeckung der Sicherheitstestfälle

Der OWASP MASVS (Mobile Application Security Verification Standard) ist der Industriestandard für die Sicherheit mobiler Apps. Er kann von mobilen Softwarearchitekten und Entwicklern genutzt werden, die sichere mobile Anwendungen entwickeln möchten, sowie von Sicherheitstestern, um die Vollständigkeit und Konsistenz der Testergebnisse sicherzustellen.

💻 Demo

https://user-images.githubusercontent.com/32319538/211979260-194e858b-373a-4911-8c56-78d1d568d3aa.mp4

🚧 Geplante Funktionen

• Scannen mehrerer APK-Dateien - ERLEDIGT ☺️
• Weitere Ausgabeformate wie HTML - In der äußeren Umlaufbahn! 🤔
• Integration mit Drittanbieter-Tools - Kann ich nicht zusagen! 😬

🤝 Mitwirkung

Wir freuen uns über jede Art von Beitrag aus der Community. Bitte geben Sie uns wertvolle Vorschläge oder Feedback, um dieses Tool noch besser zu machen.

⚠️ Haftungsausschluss

Dieses Projekt wurde erstellt, um der Infosec-Community zu helfen. Es ist wichtig, seine Kernphilosophie, Werte und Absichten zu respektieren. Bitte verwenden Sie es nicht für schädliche, böswillige oder böse Zwecke.

🧾 Lizenz

Dieses Projekt ist unter der GNU General Public License v3.0 lizenziert.

🧘‍♂️ Projektentwickler

• Sumit Kalaria | Twitter | Linkedin
• Mrunal Chawda | Twitter | Linkedin

💐 Danksagungen

• RedHunt Labs