Laboratoire de Recherche CVE et PoC — Analyse de Sécurité Android

👨‍🏫 Informations sur l'Encadrant

👤 Informations sur l'Étudiant

📚 Informations sur le Cours

🚀 Résumé et Portée du Projet

Ce projet a été développé comme devoir final du cours Test d'Intrusion (BGT006) du programme Technologie de la Sécurité de l'Information de l'Université d'İstinye. Dans le cadre du projet, 3 vulnérabilités actuelles distinctes affectant l'écosystème Android (CVE-2024-0044, CVE-2024-43093, CVE-2024-23706) ont été examinées en profondeur, un environnement de laboratoire isolé a été mis en place et une analyse a été réalisée selon une méthodologie de cyber-enquête.

🎯 Problème Résolu et Objectif du Projet

Les analyses de sécurité Android traditionnelles se limitent généralement à de la documentation théorique ou à des images statiques. Ce projet résout les problèmes fondamentaux suivants en combinant le cycle d'attaque et de défense avec du code fonctionnel :

• Analyse en Direct des Vulnérabilités : Capture en direct les traces dans la couche de logs Android (logcat) de failles critiques d'élévation de privilèges (LPE) telles que CVE-2024-0044.
• Corrélation Red Team & Blue Team : Relie de bout en bout l'outil d'exploitation de l'équipe rouge (exploit_sim.py) au détecteur de surveillance des logs de l'équipe bleue (detector.py), offrant ainsi un PoC (Proof of Concept) complet d'attaque-défense.
• Sorties de Sécurité Industrialisées : Convertit les alarmes détectées en rapports JSON/CSV instantanés conformes aux normes SIEM et alimente le tableau de bord centralisé (Dashboard).

⚡ PoC en Une Seule Commande (Simulation Attaque-Détection)

Des lanceurs PoC en une seule commande (run_poc.bat / run_poc.sh) ont été ajoutés afin qu'un utilisateur qui clone le projet puisse l'exécuter et en voir le résultat en quelques secondes. Ces scripts simulent les étapes d'exploitation de l'équipe rouge et permettent au détecteur de l'équipe bleue de générer des alarmes et de les écrire dans le fichier reports/detection_results.json. Pour les étapes d'exécution détaillées, consultez la section Installation et Exécution.

📊 Tableau Récapitulatif des Vulnérabilités Analysées

🔌 Intégration du Module de Mi-parcours (NetVanguard)

L'agent d'analyse des logs de point de terminaison src/detector.py, développé dans le cadre du projet, a été intégré au tableau de bord central de surveillance des anomalies et d'alarmes NetVanguard, réalisé en tant que projet de mi-parcours. Les signatures de vulnérabilités critiques générées sur l'émulateur sont transmises via le réseau au moteur backend de NetVanguard, simulant ainsi une architecture de surveillance centralisée (SIEM).

🕵️ Architecture de l'Agent d'Analyse de Logs (src/detector.py)

L'agent de détection de vulnérabilités (src/detector.py) est un moteur léger (lightweight) de surveillance des logs de point de terminaison, conçu pour détecter les activités d'exploitation réalisées sur un appareil Android.

Fonctionnalités Principales et Modes de Fonctionnement :

1. Entrée de Logs Flexible (3 Modes Différents) :
   • Flux Logcat ADB en Direct : Se connecte directement à l'émulateur via la commande adb connect et surveille en direct les logs de l'appareil.
   • Mode Pipeline / Stdin : Peut être chaîné avec d'autres outils CLI grâce à l'architecture adb logcat | python src/detector.py.
   • Suivi de Fichier (Tail -f) : Suit dynamiquement, ligne par ligne, les fichiers de logs préalablement enregistrés (.log).
   • Fallback (Saisie Manuelle) : Si ADB ou un fichier de logs n'est pas installé sur le système, filtre les lignes de logs saisies manuellement à des fins de test (module de simulation en direct).
2. Correspondance de Signatures Basée sur des Règles :
   • Est alimenté par la variable DETECTION_KEYWORDS du fichier .env.
   • Lorsqu'il capture des signatures d'exploitation critiques telles que les crashs du runtime Android (SIGSEGV), les erreurs d'installation de paquets (SIGABRT) et les applications sécurisées ayant planté (Process has died), il génère immédiatement [TEHLIKE - ALARM] dans le terminal et les logs.

🛠️ Technologies Utilisées

📂 Structure du Répertoire du Projet

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 Méthodologie d'Analyse et de Simulation

Dans le cadre du projet, l'analyse des vulnérabilités et les simulations de défense ont été traitées selon un cycle de cybersécurité composé de 4 étapes fondamentales :

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

1. Analyse Statique et Théorique : Les codes sources AOSP (Android Open Source Project) ont été examinés afin d'identifier les erreurs logiques dans les correspondances UID, les restrictions d'accès à la base de données SQLite et les mécanismes d'installation de paquets.
2. Environnement de Laboratoire Isolé : L'émulateur Android (API 33-34) et la configuration honeypot ont été placés dans un réseau de test d'intrusion isolé via des conteneurs Docker.
3. Journalisation et Détection Dynamiques : Les traces de crash et de bypass (SIGSEGV, etc.) générées lors du déclenchement des vulnérabilités ont été filtrées et capturées par l'agent de détection de vulnérabilités src/detector.py.
4. Visualisation sur Tableau de Bord : Les données collectées ont été enrichies de matrices de risques, de graphiques de chaînes d'attaque et de simulations de terminal en direct, compréhensibles par les administrateurs et les analystes, puis intégrées à l'interface web/.

Installation et Exécution

Prérequis

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

Étape 1 : Préparation

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

Étape 2 : Options d'Exécution

🚀 Option A : Simulation PoC en Un Clic (Méthode la Plus Rapide)

Pour tester de bout en bout le mécanisme d'attaque et de détection, sans aucune installation ni configuration d'émulateur :

• Windows (Double-clic ou CMD) :
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux (Terminal) :
  root@kitploit:~

  bash run_poc.sh
  

🕵️ Option B : Mode ADB Manuel en Direct

Pour capturer les logs logcat en temps réel lorsque votre émulateur Android est ouvert :

# Ajanı başlatın (ADB üzerinden canlı logları dinlemeye başlar)
python src/detector.py

# Ayrı bir terminalden saldırı simülatörünü tetikleyin
python src/exploit_sim.py

🐳 Option C : Mode Conteneur avec Docker

Pour démarrer toutes les dépendances dans un conteneur Docker isolé :

docker-compose up -d

Étape 3 : Exécution des Tests Automatiques

Pour tester la qualité logicielle et les normes CI/CD :

python -m unittest src/test_detector.py

🖥️ Interface du Tableau de Bord Web

Tout utilisateur qui clone (git clone) le projet peut facilement exécuter localement la riche interface web comprenant les rapports d'analyse et la simulation de terminal.

Aperçu du Tableau de Bord (Démo)

Pour visualiser l'interface, vous pouvez utiliser l'une des méthodes suivantes :

1. Scripts de Lancement Automatique (Recommandé)

Pour démarrer le serveur HTTP local en arrière-plan et ouvrir automatiquement l'interface dans votre navigateur par défaut, exécutez la commande adaptée à votre système d'exploitation :

• Windows (PowerShell / CMD) : Vous pouvez double-cliquer sur le fichier start_dashboard.bat situé dans le répertoire principal du projet ou l'exécuter depuis le terminal avec la commande suivante :
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux (Bash) : Pour lancer directement depuis le terminal (sans nécessiter de permission d'exécution) :
  root@kitploit:~

  bash start_dashboard.sh
  

  ou en accordant la permission d'exécution au fichier :
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. Exécution Hors Ligne (Sans Serveur)

Pour exécuter directement sans installer de serveur local :

1. Accédez au répertoire web/.
2. Double-cliquez sur le fichier index.html pour l'ouvrir directement dans votre navigateur.

3. Lancement avec un Serveur Manuel

Si vous souhaitez démarrer le serveur Python manuellement :

python -m http.server 8080

Ensuite, accédez à l'adresse http://localhost:8080/web/index.html dans votre navigateur.

🔄 CI/CD et Analyses Automatisées de Sécurité/Qualité

Notre projet est géré selon des principes d'ingénierie logicielle (DevSecOps) conformes aux normes de cybersécurité. À chaque push ou pull request effectué sur le dépôt, GitHub Actions exécute le flux de travail (pipeline) suivant :

1. Prise en Charge Multi-Systèmes d'Exploitation (Matrix Build) : Le code de l'agent est testé à la fois sur ubuntu-latest et windows-latest, validant ainsi la compatibilité multiplateforme.
2. Analyse Statique de Code (Linter) : Les normes d'écriture Python (PEP 8) sont vérifiées à l'aide de l'outil flake8.
3. Analyse Statique de Sécurité (Scan Bandit) : Les motifs de vulnérabilités critiques susceptibles d'apparaître dans le code sont automatiquement analysés à l'aide de l'outil bandit (tous les cas de faux positifs sont marqués # nosec conformément aux normes de cybersécurité).
4. Test d'Intégration du Pipeline : Le pipeline exploit_sim.py | detector.py est exécuté, simulant ainsi le cycle complet d'exploitation-détection.
5. Sortie de Rapport (Artifacts) : Le fichier detection_results.json généré à la suite de l'exécution réussie du PoC est automatiquement téléchargé sous forme d'archive zip dans les sorties d'Actions.

Aperçu de la Sortie Terminal du PoC :

⚠️ Avertissement Légal

Ce projet est uniquement destiné à des fins académiques et éducatives. Tous les tests sont effectués dans un environnement de laboratoire contrôlé, sur des machines virtuelles isolées. Toute tentative d'attaque contre des appareils réels ou des systèmes tiers est illégale et sort du cadre de ce projet.

📄 Licence

Ce projet est sous licence GNU General Public License v3.0.