APKHunt | Analizzatore Statico OWASP MASVS

APKHunt è uno strumento completo di analisi statica del codice per app Android basato sul framework OWASP MASVS. Sebbene APKHunt sia pensato principalmente per sviluppatori di app mobili e tester di sicurezza, chiunque può utilizzarlo per identificare e affrontare potenziali vulnerabilità di sicurezza nel proprio codice.

Con APKHunt, architetti software mobili o sviluppatori possono condurre revisioni approfondite del codice per garantire la sicurezza e l'integrità delle loro applicazioni mobili, mentre i tester di sicurezza possono usare lo strumento per confermare la completezza e la coerenza dei loro risultati di test. Che tu sia uno sviluppatore che cerca di creare app sicure o un tester infosec incaricato di garantirne la sicurezza, APKHunt può essere una risorsa preziosa per il tuo lavoro.

NOTA: è basato su OWASP MASVS v1.5.0 rilasciato nel gennaio 2023.

Black Hat Asia Arsenal 2023

https://www.blackhat.com/asia-23/arsenal/schedule/#apkhunt--owasp-masvs-static-analyzer-31003

🎯 Caratteristiche

• Copertura di scansione: Copre la maggior parte dei casi di test SAST (Static Application Security Testing) del framework OWASP MASVS.
• Scansione di più APK: Supporta la scansione di più file APK in un determinato percorso o cartella.
• Scansione ottimizzata: Regole specifiche sono progettate per verificare particolari sink di sicurezza, garantendo un processo di scansione quasi accurato.
• Basso tasso di falsi positivi: Progettato per individuare ed evidenziare la posizione esatta delle potenziali vulnerabilità nel codice sorgente.
• Formato di output: I risultati vengono forniti in un file TXT per una facile leggibilità da parte degli utenti finali.

🕸️ Installazione

1. git clone https://github.com/Cyber-Buddy/APKHunt.git
2. cd APKHunt
3. go run apkhunt.go

Requisiti:

• Installare Git: sudo apt-get install git
• Installare Golang: sudo apt install golang-go
• Installare JADX: sudo apt-get install jadx
• Installare Dex2jar: sudo apt-get install dex2jar

Limitazione:

• Supportato solo su ambienti Linux

⚙️ Uso

      _ _   __ __  _   __  _   _                _   
     / _ \ | _ _ \| | / / | | | |              | |  
    / /_\ \| |_/ /| |/ /  | |_| | _   _   _ _  | |_ 
    |  _  ||  __/ |    \  |  _  || | | |/  _  \|  _|                                                                                     
    | | | || |    | |\  \ | | | || |_| || | | || |_                                                                                      
    \_| |_/\_|    \_| \_/ \_| |_/\ _ _ /|_| |_|\_ _|                                                                                     
    ------------------------------------------------                                                                                     
    Analizzatore Statico OWASP MASVS  

    Utilizzo di APKHunt:                                                                                                                       
          go run apkhunt.go [options] {.apk file}                                                                                        

    Opzioni:                                                                                                                             
         -h     Per aiuto                                                                                                                 
         -p     Fornisci il percorso del file apk
         -m     Fornisci il percorso della cartella per la scansione di più apk
         -l     Per il logging (file .txt)

    Esempi:                                                                                                                            
         APKHunt.go -p /Downloads/android_app.apk                                                                                        
         APKHunt.go -p /Downloads/android_app.apk -l
         APKHunt.go -m /Downloads/android_apps/
         APKHunt.go -m /Downloads/android_apps/ -l

📱 Copertura dei casi di test di sicurezza

OWASP MASVS (Mobile Application Security Verification Standard) è lo standard di settore per la sicurezza delle app mobili. Può essere utilizzato da architetti software mobili e sviluppatori che cercano di sviluppare applicazioni mobili sicure, nonché da tester di sicurezza per garantire la completezza e la coerenza dei risultati dei test.

💻 Demo

https://user-images.githubusercontent.com/32319538/211979260-194e858b-373a-4911-8c56-78d1d568d3aa.mp4

🚧 Funzionalità in arrivo

• Scansione di più file APK - FATTO ☺️
• Più formati di output come HTML - Nell'orbita esterna! 🤔
• Integrazione con strumenti di terze parti - Non posso impegnarmi! 😬

🤝 Contributi

Saremmo lieti di ricevere qualsiasi tipo di contributo dalla comunità. Per favore, fornisci i tuoi preziosi suggerimenti o feedback per rendere questo strumento ancora più fantastico.

⚠️ Disclaimer

Questo progetto è stato creato per aiutare la comunità infosec. È importante rispettare la sua filosofia, i valori e le intenzioni fondamentali. Ti preghiamo di non utilizzarlo per scopi dannosi, maliziosi o cattivi.

🧾 Licenza

Questo progetto è concesso in licenza sotto la GNU General Public License v3.0

🧘‍♂️ Sviluppatore del Progetto

• Sumit Kalaria | Twitter | Linkedin
• Mrunal Chawda | Twitter | Linkedin

💐 Crediti

• RedHunt Labs