DroidLysis

DroidLysis एक Android ऐप्स के लिए पूर्व-विश्लेषण उपकरण है: यह उन दोहराए जाने वाले और उबाऊ कार्यों को करता है जो हम आमतौर पर किसी भी रिवर्स इंजीनियरिंग की शुरुआत में करते हैं। यह Android नमूने को डिस्सेम्बल करता है, आउटपुट को निर्देशिकाओं में व्यवस्थित करता है, और कोड में संदिग्ध स्थानों की खोज करता है जिन्हें देखना होता है। आउटपुट रिवर्स इंजीनियर को विश्लेषण के पहले कुछ चरणों को गति देने में मदद करता है।

DroidLysis का उपयोग Android पैकेज (apk), Dalvik निष्पादन योग्य (dex), Zip फ़ाइलें (zip), Rar फ़ाइलें (rar) या फ़ाइलों की निर्देशिकाओं पर किया जा सकता है।

DroidLysis स्थापित करना

1. आवश्यक सिस्टम पैकेज स्थापित करें

sudo apt-get install default-jre git python3 python3-pip unzip wget libmagic-dev libxml2-dev libxslt-dev

2. Android डिस्सेम्बली उपकरण स्थापित करें

• Apktool ,
• Baksmali, और वैकल्पिक रूप से
• Dex2jar और

$ mkdir -p ~/softs
$ cd ~/softs
$ wget https://bitbucket.org/iBotPeaches/apktool/downloads/apktool_2.9.3.jar
$ wget https://bitbucket.org/JesusFreke/smali/downloads/baksmali-2.5.2.jar
$ wget https://github.com/pxb1988/dex2jar/releases/download/v2.4/dex-tools-v2.4.zip
$ unzip dex-tools-v2.4.zip 
$ rm -f dex-tools-v2.4.zip 

3. Git रिपॉजिटरी से (पसंदीदा) या pip से DroidLysis प्राप्त करें

Python वर्चुअल एनवायरनमेंट में Git से इंस्टॉल करें (python3 -m venv, या pyenv वर्चुअल एनवायरनमेंट आदि)।

$ python3 -m venv venv
$ source ./venv/bin/activate
(venv) $ pip3 install git+https://github.com/cryptax/droidlysis

वैकल्पिक रूप से, आप DroidLysis को सीधे PyPi से इंस्टॉल कर सकते हैं (pip3 install droidlysis)।

4. conf/general.conf कॉन्फ़िगर करें। विशेष रूप से सुनिश्चित करें कि /home/axelle को अपनी उपयुक्त निर्देशिकाओं से बदलें।

[tools]
apktool = /home/axelle/softs/apktool_2.9.3.jar
baksmali = /home/axelle/softs/baksmali-2.5.2.jar
dex2jar = /home/axelle/softs/dex-tools-v2.4/d2j-dex2jar.sh
keytool = /usr/bin/keytool
...

5. इसे चलाएँ:

python3 ./droidlysis3.py --help

कॉन्फ़िगरेशन

कॉन्फ़िगरेशन फ़ाइल ./conf/general.conf है (आप --config विकल्प के साथ किसी अन्य फ़ाइल पर स्विच कर सकते हैं)। यहाँ आप विभिन्न बाहरी उपकरणों (जैसे Apktool) का स्थान, पैटर्न फ़ाइलों के नाम (डिफ़ॉल्ट रूप से ./conf/smali.conf, ./conf/wide.conf, ./conf/arm.conf, ./conf/kit.conf) और डेटाबेस फ़ाइल का नाम (केवल तब उपयोग किया जाता है जब आप --enable-sql निर्दिष्ट करते हैं) कॉन्फ़िगर करते हैं।

डिस्सेम्बली टूल्स के लिए सही पथ निर्दिष्ट करना सुनिश्चित करें, अन्यथा DroidLysis उन्हें नहीं ढूँढ पाएगा।

उपयोग

DroidLysis Python 3 का उपयोग करता है। इसे लॉन्च करने और विकल्प प्राप्त करने के लिए:

droidlysis --help

उदाहरण के लिए, इसे Signal के APK पर परीक्षण करें:

droidlysis --input Signal-website-universal-release-6.26.3.apk --output /tmp --config /PATH/TO/DROIDLYSIS/conf/general.conf

DroidLysis आउटपुट देता है:

• कंसोल पर एक सारांश (ऊपर चित्र देखें)
• आपके आउटपुट डायरेक्टरी में एक उपनिर्देशिका में अनज़िप किया गया, पूर्व-संसाधित नमूना। उपनिर्देशिका का नाम नमूने के फ़ाइल नाम और sha256 योग का उपयोग करके रखा गया है। उदाहरण के लिए, यदि हम Signal एप्लिकेशन का विश्लेषण करते हैं और --output /tmp सेट करते हैं, तो विश्लेषण /tmp/Signalwebsiteuniversalrelease4.52.4.apk-f3c7d5e38df23925dd0b2fe1f44bfa12bac935a6bc8fe3a485a4436d4487a290 पर लिखा जाएगा।
• एक डेटाबेस (डिफ़ॉल्ट रूप से, SQLite droidlysis.db) जिसमें उसने देखे गए गुण शामिल हैं।

विकल्प

droidlysis --help के साथ उपयोग प्राप्त करें

• इनपुट एक फ़ाइल या फ़ाइलों की एक निर्देशिका हो सकती है जिसे पुनरावर्ती रूप से देखा जाना है। DroidLysis Android पैकेज, DEX, ODEX और ARM निष्पादन योग्य, ZIP, RAR को संसाधित करना जानता है। DroidLysis अन्य प्रकार की फ़ाइलों पर विफल नहीं होगा (जब तक कि कोई बग न हो...) लेकिन सामग्री को समझने में सक्षम नहीं होगा।

• फ़ाइलों की निर्देशिकाओं को संसाधित करते समय, यह जानने के लिए कि क्या संसाधित किया गया है, संसाधित नमूनों को किसी अन्य स्थान पर ले जाना आमतौर पर बहुत मददगार होता है। यह --movein विकल्प द्वारा नियंत्रित किया जाता है। साथ ही, यदि आप केवल आँकड़ों में रुचि रखते हैं, तो आपको शायद आउटपुट निर्देशिका को साफ़ कर देना चाहिए जिसमें प्रत्येक नमूने के लिए विस्तृत जानकारी होती है: यह --clearoutput विकल्प है। यदि आप सभी आँकड़ों को SQL डेटाबेस में संग्रहीत करना चाहते हैं, तो --enable-sql का उपयोग करें (यहाँ देखें)

• DroidLysis का विश्लेषण डिफ़ॉल्ट रूप से ज्ञात तृतीय-पक्ष SDK का निरीक्षण नहीं करता है, अर्थात उदाहरण के लिए यह इनमें से किसी भी संदिग्ध गतिविधि की रिपोर्ट नहीं करेगा। यदि आप चाहते हैं कि उनका निरीक्षण किया जाए, तो विकल्प --no-kit-exception का उपयोग करें। यह आमतौर पर नमूने के लिए कई और पता लगाए गए गुण बनाता है, क्योंकि SDK (जैसे विज्ञापन) कई फ़्लैग किए गए API का उपयोग करते हैं (GPS स्थान प्राप्त करें, IMEI प्राप्त करें, IMSI प्राप्त करें, HTTP POST...)।

नमूना आउटपुट निर्देशिका (--output DIR)

इस निर्देशिका में (जब लागू हो) शामिल है:

• एक पठनीय AndroidManifest.xml
• res में पठनीय संसाधन
• लाइब्रेरीज़ lib, संपत्तियाँ assets
• डिस्सेम्बल किया गया Smali कोड: smali (और अन्य)
• पैकेज मेटा जानकारी: META-INF
• ./unzipped में बस अनज़िप होने पर पैकेज सामग्री
• DEX निष्पादन योग्य classes.dex (और अन्य), और jar में परिवर्तित: classes-dex2jar.jar, और ./unjarred में अनजैर किया गया

निम्नलिखित फ़ाइलें DroidLysis द्वारा उत्पन्न की जाती हैं:

• autoanalysis.md: प्रत्येक पैटर्न की सूची बनाता है जो DroidLysis ने पाया और कहाँ।
• report.md: वही जो कंसोल पर मुद्रित किया गया था

यदि आपको नमूना आउटपुट निर्देशिका उत्पन्न करने की आवश्यकता नहीं है, तो विकल्प --clearoutput का उपयोग करें।

Exodus आदि से ट्रैकर्स आयात करें (--import-exodus)

$ python3 ./droidlysis3.py --import-exodus --verbose
Processing file: ./droidurl.pyc ...
DEBUG:droidconfig.py:Reading configuration file: './conf/./smali.conf'
DEBUG:droidconfig.py:Reading configuration file: './conf/./wide.conf'
DEBUG:droidconfig.py:Reading configuration file: './conf/./arm.conf'
DEBUG:droidconfig.py:Reading configuration file: '/home/axelle/.cache/droidlysis/./kit.conf'
DEBUG:droidproperties.py:Importing ETIP Exodus trackers from https://etip.exodus-privacy.eu.org/api/trackers/?format=json
DEBUG:connectionpool.py:Starting new HTTPS connection (1): etip.exodus-privacy.eu.org:443
DEBUG:connectionpool.py:https://etip.exodus-privacy.eu.org:443 "GET /api/trackers/?format=json HTTP/1.1" 200 None
DEBUG:droidproperties.py:Appending imported trackers to /home/axelle/.cache/droidlysis/./kit.conf

Exodus से ट्रैकर्स जो आपके प्रारंभिक kit.conf में मौजूद नहीं हैं, ~/.cache/droidlysis/kit.conf में जोड़ दिए जाते हैं। दो फ़ाइलों में अंतर देखें और जाँचें कि आप कौन से ट्रैकर्स जोड़ना चाहते हैं।

SQLite डेटाबेस{#sqlite_database}

यदि आप नमूनों की एक निर्देशिका को संसाधित करना चाहते हैं, तो संभवतः आप DroidLysis द्वारा पाए गए गुणों को एक डेटाबेस में संग्रहीत करना पसंद करेंगे, ताकि निष्कर्षों को आसानी से पार्स और क्वेरी किया जा सके। उस स्थिति में, विकल्प --enable-sql का उपयोग करें। यह स्वचालित रूप से सभी परिणामों को droidlysis.db नामक डेटाबेस में, samples नामक तालिका में डंप करेगा। तालिका में प्रत्येक प्रविष्टि किसी दिए गए नमूने से संबंधित है। प्रत्येक कॉलम DroidLysis द्वारा ट्रैक किए जाने वाले गुण हैं।

उदाहरण के लिए, डेटाबेस के सभी फ़ाइल नाम, SHA256 योग और smali गुण प्राप्त करने के लिए: