Laboratorio di Ricerca CVE e PoC — Analisi della Sicurezza Android

👨‍🏫 Informazioni sul Supervisore

👤 Informazioni sullo Studente

📚 Informazioni sul Corso

🚀 Sintesi e Ambito del Progetto

Questo progetto è stato sviluppato come elaborato finale del corso di Test di Penetrazione (BGT006) del programma Tecnologia della Sicurezza delle Informazioni dell'Università di İstinye. Nell'ambito del progetto, 3 diverse vulnerabilità attuali che colpiscono l'ecosistema Android (CVE-2024-0044, CVE-2024-43093, CVE-2024-23706) sono state esaminate in profondità, è stato allestito un ambiente di laboratorio isolato e sono state analizzate con una metodologia di investigazione cyber.

🎯 Problema Risolto e Scopo del Progetto

Le analisi di sicurezza Android tradizionali consistono solitamente solo in documentazione teorica o immagini statiche. Questo progetto, combinando il ciclo di attacco e difesa con codice funzionante, risolve i seguenti problemi fondamentali:

• Analisi in Tempo Reale delle Vulnerabilità: cattura dal vivo le tracce nel livello di log Android (logcat) di vulnerabilità critiche di escalation dei privilegi (LPE) come CVE-2024-0044.
• Correlazione Red Team & Blue Team: collega end-to-end lo strumento di sfruttamento del team rosso (exploit_sim.py) con il rilevatore di monitoraggio dei log del team blu (detector.py), offrendo una PoC (Proof of Concept) completa di attacco-difesa.
• Output di Sicurezza Industrializzati: converte gli allarmi rilevati in report JSON/CSV immediati conformi agli standard SIEM e li alimenta nel pannello di visualizzazione centrale (Dashboard).

⚡ PoC a Comando Singolo (Simulazione Attacco-Rilevamento)

Per consentire a un utente che clona il progetto di eseguirlo e vedere l'output in pochi secondi, sono stati aggiunti avviatori PoC a comando singolo (run_poc.bat / run_poc.sh). Questi script simulano i passaggi di sfruttamento del team rosso e consentono al rilevatore del team blu di generare allarmi e scriverli nel file reports/detection_results.json. Per i passaggi di esecuzione dettagliati, consultare la sezione Installazione ed Esecuzione.

📊 Tabella Riepilogativa delle Vulnerabilità Analizzate

🔌 Integrazione del Modulo del Progetto di Metà Semestre (NetVanguard)

L'agente di analisi dei log di endpoint src/detector.py, sviluppato nell'ambito del progetto, è stato integrato nel dashboard centrale di monitoraggio delle anomalie e degli allarmi NetVanguard, realizzato come progetto di metà semestre. Le firme delle vulnerabilità critiche generate sull'emulatore vengono trasferite via rete al motore backend di NetVanguard, simulando così un'architettura di monitoraggio centralizzato (SIEM).

🕵️ Architettura di Funzionamento dell'Agente di Analisi dei Log (src/detector.py)

L'agente di rilevamento delle vulnerabilità (src/detector.py) è un motore leggero (lightweight) di monitoraggio dei log di endpoint, progettato per rilevare le attività di sfruttamento eseguite sui dispositivi Android.

Caratteristiche Principali e Modalità di Funzionamento:

1. Input di Log Flessibile (3 Modalità Diverse):
   • Flusso Logcat ADB in Tempo Reale: si connette direttamente all'emulatore tramite il comando adb connect e monitora i log del dispositivo in tempo reale.
   • Modalità Pipeline / Stdin: può essere collegato in pipe con altri strumenti CLI tramite l'architettura adb logcat | python src/detector.py.
   • Monitoraggio File (Tail -f): monitora dinamicamente riga per riga i file di log salvati in precedenza (.log).
   • Fallback (Input Manuale): se sul sistema non sono installati ADB o file di log, filtra le righe di log inserite manualmente a scopo di test (modulo di simulazione live).
2. Corrispondenza delle Firme Basata su Regole:
   • Viene alimentato dalla variabile DETECTION_KEYWORDS contenuta nel file .env.
   • Quando rileva firme di sfruttamento critiche come crash di Android Runtime (SIGSEGV), errori di installazione dei pacchetti (SIGABRT) e applicazioni sicure terminate (Process has died), genera immediatamente [TEHLIKE - ALARM] nel terminale e nei log.

🛠️ Tecnologie Utilizzate

📂 Struttura delle Directory del Progetto

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 Metodologia di Analisi e Simulazione

Nell'ambito del progetto, l'analisi delle vulnerabilità e le simulazioni di difesa sono state affrontate con un ciclo di sicurezza informatica composto da 4 fasi principali:

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

1. Analisi Statica e Teorica: esaminando i codici sorgente di AOSP (Android Open Source Project), sono stati identificati errori logici nelle corrispondenze UID, nelle restrizioni di accesso al database SQLite e nei meccanismi di installazione dei pacchetti.
2. Ambiente di Laboratorio Isolato: l'emulatore Android (API 33-34) e la configurazione honeypot sono stati inseriti, tramite container Docker, in una rete di penetration test isolata.
3. Registrazione Dinamica e Rilevamento: le tracce di crash e bypass (come SIGSEGV) emerse quando vengono attivate le vulnerabilità sono state catturate filtrandole con l'agente di rilevamento delle vulnerabilità src/detector.py.
4. Visualizzazione Dashboard: i dati raccolti sono stati arricchiti con matrici di rischio, grafici della catena di attacco e simulazioni di terminale in tempo reale, comprensibili per amministratori e analisti, e trasferiti nell'interfaccia web/.

Installazione ed Esecuzione

Prerequisiti

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

Passaggio 1: Preparazione

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

Passaggio 2: Opzioni di Esecuzione

🚀 Opzione A: Simulazione PoC con un Clic (Metodo Più Veloce)

Per testare end-to-end il meccanismo di attacco e rilevamento, senza richiedere alcuna installazione o configurazione dell'emulatore:

• Windows (doppio clic o CMD):
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux (terminale):
  root@kitploit:~

  bash run_poc.sh
  

🕵️ Opzione B: Modalità ADB Live Manuale

Per catturare logcat in tempo reale mentre l'emulatore Android è aperto:

# Ajanı başlatın (ADB üzerinden canlı logları dinlemeye başlar)
python src/detector.py

# Ayrı bir terminalden saldırı simülatörünü tetikleyin
python src/exploit_sim.py

🐳 Opzione C: Modalità Container con Docker

Per avviare tutte le dipendenze in un container Docker isolato:

docker-compose up -d

Passaggio 3: Esecuzione dei Test Automatici

Per testare la qualità del software e gli standard CI/CD:

python -m unittest src/test_detector.py

🖥️ Interfaccia della Web Dashboard

Qualsiasi utente che clona il progetto (git clone) può eseguire facilmente in locale la ricca interfaccia web che include i report di analisi e la simulazione del terminale.

Anteprima della Dashboard (Demo)

Per visualizzare l'interfaccia, è possibile utilizzare uno dei seguenti metodi:

1. Script di Avvio Automatici (Consigliati)

Per avviare il server HTTP locale in background e aprire automaticamente l'interfaccia nel browser predefinito, esegui il comando appropriato per il tuo sistema operativo:

• Windows (PowerShell / CMD): puoi fare doppio clic sul file start_dashboard.bat nella directory principale del progetto, oppure eseguirlo dal terminale con il comando:
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux (Bash): per avviarlo direttamente dal terminale (senza richiedere il permesso di esecuzione):
  root@kitploit:~

  bash start_dashboard.sh
  

  oppure concedendo al file il permesso di esecuzione:
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. Esecuzione Offline (Senza Server)

Per eseguirlo direttamente senza configurare alcun server locale:

1. Vai alla directory web/.
2. Fai doppio clic sul file index.html per aprirlo direttamente nel browser.

3. Avvio con Server Manuale

Se desideri avviare manualmente il server Python:

python -m http.server 8080

Quindi, vai all'indirizzo http://localhost:8080/web/index.html nel tuo browser.

🔄 CI/CD e Scansioni Automatiche di Sicurezza/Qualità

Il nostro progetto è gestito secondo i principi di ingegneria del software (DevSecOps) conformi agli standard di cybersecurity. A ogni push o pull request sul repository, GitHub Actions esegue il seguente flusso di lavoro (pipeline):

1. Supporto Multi-Sistema Operativo (Matrix Build): il codice dell'agente viene testato sia su ubuntu-latest che su windows-latest, verificando la compatibilità tra piattaforme.
2. Analisi Statica del Codice (Linter): gli standard di scrittura Python (PEP 8) vengono verificati con lo strumento flake8.
3. Analisi Statica di Sicurezza (Bandit Scan): con lo strumento bandit vengono scansionati automaticamente i pattern di vulnerabilità critiche che potrebbero verificarsi nel codice (tutti i casi di falsi positivi sono contrassegnati con # nosec secondo gli standard di cybersecurity).
4. Test di Integrazione della Pipeline: viene eseguita la pipeline exploit_sim.py | detector.py, simulando il ciclo end-to-end di sfruttamento-rilevamento.
5. Output dei Report (Artifacts): il file detection_results.json generato dal PoC eseguito con successo viene caricato automaticamente come file zip negli artefatti di Actions.

Anteprima dell'Output del Terminale PoC:

⚠️ Avviso Legale

Questo progetto è destinato esclusivamente a scopi accademici ed educativi. Tutti i test vengono eseguiti in un ambiente di laboratorio controllato, su macchine virtuali isolate. Qualsiasi tentativo di attacco verso dispositivi reali o sistemi di terze parti è illegale ed esula dallo scopo di questo progetto.

📄 Licenza

Questo progetto è concesso in licenza con la GNU General Public License v3.0.