Kit de Revisión Rápida de Android

Esta herramienta está diseñada para buscar varias vulnerabilidades de seguridad en aplicaciones Android, ya sea en código fuente o en APKs empaquetadas. La herramienta también es capaz de crear APKs desplegables de "Prueba de Concepto" y/o comandos ADB, capaces de explotar muchas de las vulnerabilidades que encuentra. No es necesario rootear el dispositivo de prueba, ya que esta herramienta se centra en vulnerabilidades que pueden ser explotadas bajo condiciones seguras.

Requisitos

Probado en Python 2.7.13 y 3.6 Probado en OSX, Linux y Windows

Uso

Para más opciones, por favor consulte el comando --help.

APK::

~ qark --apk ruta/a/mi.apk

Archivos de código fuente Java::

~ qark --java ruta/al/directorio/java/padre ~ qark --java ruta/al/archivo/java/específico.java

Resultados

Se genera un informe en JSON y se puede convertir a otros formatos; para cambiar el tipo de informe, use la bandera --report-type.

Instalación

Con pip (sin comprobaciones de seguridad en las dependencias)::

~ pip install --user qark # --user solo es necesario si no se usa un virtualenv ~ qark --help

Con requirements.txt (comprobaciones de seguridad en las dependencias)::

~ git clone https://github.com/linkedin/qark ~ cd qark ~ pip install -r requirements.txt ~ pip install . --user # --user solo es necesario si no se usa un virtualenv ~ qark --help

APK de Explotación

QARK puede generar un APK de explotación básico para algunas de las vulnerabilidades encontradas.

Para generar el APK de explotación, hay que seguir algunos pasos. Necesita tener el Android SDK v21 y build-tools v21.1.2

1. Instale el SDK de Android, puede obtenerlo en las 'herramientas de línea de comandos': https://developer.android.com/studio/#downloads
2. Descomprima el SDK de Android
3. Vaya al nuevo directorio y genere las licencias con bin/sdkmanager --licenses
4. Asegúrese de que las licencias generadas estén en el directorio del SDK de Android.
5. Instale el SDK y la versión adecuada de build-tools: bin/sdkmanager --install "platforms;android-21" "sources;android-21" "build-tools;21.1.2"

Comprobaciones

QARK es una herramienta fácil de usar capaz de encontrar vulnerabilidades de seguridad comunes en aplicaciones Android. A diferencia de los productos comerciales, es 100% gratuita. QARK incluye información educativa que permite a los revisores de seguridad localizar explicaciones precisas y detalladas de las vulnerabilidades. QARK automatiza el uso de múltiples descompiladores, aprovechando sus resultados combinados, para obtener resultados superiores al descompilar APKs. Finalmente, la principal ventaja de QARK sobre las herramientas tradicionales, que solo señalan posibles vulnerabilidades, es que puede producir comandos ADB, o incluso APKs completamente funcionales, que convierten vulnerabilidades hipotéticas en explotaciones "POC" funcionales.

Entre los tipos de vulnerabilidades de seguridad que esta herramienta intenta encontrar se incluyen:

• Componentes exportados inadvertidamente
• Componentes exportados protegidos incorrectamente
• Intents vulnerables a interceptación o escucha
• Validación incorrecta de certificados x.509
• Creación de archivos legibles o escribibles por todo el mundo
• Actividades que pueden filtrar datos
• Uso de Intents Sticky
• Pending Intents creados de manera insegura
• Envío de Broadcast Intents inseguros
• Claves privadas incrustadas en el código fuente
• Uso de criptografía débil o incorrecta
• Configuraciones de WebView potencialmente explotables
• Actividades de Preferencias exportadas
• Tapjacking
• Aplicaciones que permiten copias de seguridad
• Aplicaciones depurables
• Aplicaciones que soportan versiones de API obsoletas, con vulnerabilidades conocidas

Aviso

Nota: QARK descompila aplicaciones Android de vuelta a código fuente original. Por favor, no use esta herramienta si esto pudiera considerarse ilegal en su jurisdicción. Si no está seguro, busque asesoramiento legal.

Si encuentra problemas en OSX, especialmente relacionados con la llamada saliente a Play Store, o la descarga del SDK, es probable que se deba a su configuración de Python/OpenSSL y al hecho de que cambios recientes en OSX afectaron a Python instalado mediante brew. Eliminar las instalaciones de Python y reinstalarlas desde la fuente podría solucionar sus problemas.

Licencia

Copyright 2015 LinkedIn Corp. Todos los derechos reservados.

Copyright 2015 LinkedIn Corp. Licenciado bajo la Licencia Apache, Versión 2.0 (la "Licencia"); no puede usar este archivo excepto en cumplimiento con la Licencia. Puede obtener una copia de la Licencia aquí <http://www.apache.org/licenses/LICENSE-2.0/>_. A menos que lo exija la ley aplicable o se acuerde por escrito, el software distribuido bajo la Licencia se distribuye "TAL CUAL", SIN GARANTÍAS NI CONDICIONES DE NINGÚN TIPO, ya sean expresas o implícitas.