CVE研究およびPoCラボ — Androidセキュリティ分析

👨‍🏫 指導教員情報

👤 学生情報

📚 授業情報

🚀 プロジェクト概要と範囲

このプロジェクトは、イスティニエ大学情報セキュリティ技術プログラムの侵入テスト（BGT006）コースの最終課題として開発されました。プロジェクトでは、Androidエコシステムに影響を与える3つの異なる最新の脆弱性（CVE-2024-0044、CVE-2024-43093、CVE-2024-23706）を詳細に調査し、隔離されたラボ環境を構築し、サイバー捜査の方法論で分析しました。

🎯 解決する問題とプロジェクトの目的

従来のAndroidセキュリティ分析は、多くの場合、理論的なドキュメントや静的画像のみで構成されています。このプロジェクトは、攻撃と防御のサイクルを動作するコードで組み合わせることで、以下の根本的な問題を解決します：

• 脆弱性のライブ分析： CVE-2024-0044などの重大な権限昇格（LPE）の脆弱性がAndroidログ層（logcat）に残す痕跡をライブで捕捉します。
• レッドチーム＆ブルーチームの相関： レッドチームのエクスプロイトツール（exploit_sim.py）とブルーチームのログ監視検出器（detector.py）をエンドツーエンドで接続し、完全な攻撃・防御PoC（Proof of Concept）を提供します。
• 製品化されたセキュリティ出力： 検出されたアラームをSIEM標準に準拠した即時JSON/CSVレポートに変換し、中央表示パネル（ダッシュボード）に供給します。

⚡ 単一コマンドで動作するPoC（攻撃・検知シミュレーション）

プロジェクトをクローンしたユーザーが数秒以内に実行して出力を確認できるよう、単一コマンドで動作するPoCランチャー（run_poc.bat / run_poc.sh）が追加されています。これらのスクリプトは、レッドチームのエクスプロイト手順をシミュレートし、ブルーチームの検出器がアラームを生成してreports/detection_results.jsonファイルに書き込むことを可能にします。詳細な実行手順については、セットアップと実行セクションを参照してください。

📊 分析された脆弱性の概要表

🔌 中間試験モジュール（NetVanguard）の統合

プロジェクトで開発されたsrc/detector.pyエンドポイントログ分析エージェントは、中間試験プロジェクトとして実装されたNetVanguard中央異常監視・アラームパネルに統合されています。エミュレータ上で発生した重大な脆弱性シグネチャがネットワーク経由でNetVanguardバックエンドエンジンに転送され、中央監視（SIEM）アーキテクチャがシミュレートされています。

🕵️ ログ分析エージェント（src/detector.py）の動作アーキテクチャ

脆弱性検知エージェント（src/detector.py）は、Androidデバイス上で実行されるエクスプロイト活動を検出するために設計された軽量（lightweight）なエンドポイントログ監視エンジンです。

主な機能と動作モード：

1. 柔軟なログ入力（3つの異なるモード）：
   • ライブADB Logcatストリーム： adb connectコマンドでエミュレータに直接接続し、デバイスログをライブで監視します。
   • パイプライン / Stdinモード： adb logcat | python src/detector.pyアーキテクチャにより、他のCLIツールとパイプ接続できます。
   • ファイル追跡（Tail -f）： 事前に記録されたログファイル（.log）を動的に1行ずつ監視します。
   • フォールバック（手動入力）： システムにADBやログファイルが設定されていない場合、テスト目的で手動入力されたログ行をフィルタリングします（ライブシミュレーションモジュール）。
2. ルールベースのシグネチャマッチング：
   • .envファイルのDETECTION_KEYWORDS変数から供給されます。
   • Android Runtimeのクラッシュ（SIGSEGV）、パッケージインストールエラー（SIGABRT）、クラッシュしたセキュアアプリ（Process has died）などの重大なエクスプロイトシグネチャを捕捉すると、即座にターミナルとログに[TEHLIKE - ALARM]を生成します。

🛠️ 使用技術

📂 プロジェクトディレクトリ構造

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 分析およびシミュレーション方法論

このプロジェクトでは、脆弱性分析と防御シミュレーションは、4つの基本フェーズからなるサイバーセキュリティサイクルとして扱われています：

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

1. 静的・理論的分析： AOSP（Android Open Source Project）のソースコードを調査し、UIDマッチング、SQLiteデータベースのアクセス制限、パッケージインストールメカニズムにおける論理的な欠陥を特定しました。
2. 隔離ラボ環境： Androidエミュレータ（API 33-34）とハニーポット構成は、Dockerコンテナにより隔離された侵入テストネットワークに配置されました。
3. 動的ロギングと検知： 脆弱性がトリガーされたときに発生するクラッシュやバイパスの痕跡（SIGSEGVなど）は、src/detector.py脆弱性検知エージェントによってフィルタリングされ捕捉されました。
4. ダッシュボードの可視化： 収集されたデータは、管理者やアナリストが理解できるリスクマトリックス、攻撃チェーン図、ライブターミナルシミュレーションで強化され、web/インターフェースに反映されました。

セットアップと実行

前提条件

• Python 3.8+
• Android SDK (API Level 33-34)
• Docker & Docker Compose
• ADB (Android Debug Bridge)

ステップ1：準備

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

ステップ2：実行オプション

🚀 オプションA：ワンクリックPoCシミュレーション（最速の方法）

インストールやエミュレータ設定を一切必要とせず、攻撃・検知メカニズムをエンドツーエンドでテストするには：

• Windows（ダブルクリックまたはCMD）：
  root@kitploit:~

  run_poc.bat
  

• macOS / Linux（ターミナル）：
  root@kitploit:~

  bash run_poc.sh
  

🕵️ オプションB：手動ライブADBモード

Androidエミュレータを起動した状態で、リアルタイムのlogcatを取得するには：

# Ajanı başlatın (ADB üzerinden canlı logları dinlemeye başlar)
python src/detector.py

# Ayrı bir terminalden saldırı simülatörünü tetikleyin
python src/exploit_sim.py

🐳 オプションC：Dockerによるコンテナモード

すべての依存関係を隔離されたDockerコンテナで起動するには：

docker-compose up -d

ステップ3：自動テストの実行

ソフトウェア品質とCI/CD標準をテストするには：

python -m unittest src/test_detector.py

🖥️ Webダッシュボードインターフェース

プロジェクトをクローン（git clone）したユーザーは誰でも、分析レポートとターミナルシミュレーションを含むリッチなWebインターフェースを自分のローカル環境で簡単に実行できます。

ダッシュボードプレビュー（デモ）

インターフェースを表示するには、以下のいずれかの方法を使用できます：

1. 自動起動スクリプト（推奨）

ローカルHTTPサーバーをバックグラウンドで起動し、インターフェースをデフォルトブラウザで自動的に開くには、お使いのOSに適したコマンドを実行してください：

• Windows（PowerShell / CMD）： プロジェクトのルートディレクトリにあるstart_dashboard.batファイルをダブルクリックするか、ターミナルから次のコマンドで実行できます：
  root@kitploit:~

  start_dashboard.bat
  

• macOS / Linux（Bash）： ターミナルから直接起動するには（実行権限を必要とせず）：
  root@kitploit:~

  bash start_dashboard.sh
  

  または、ファイルに実行権限を付与して：
  root@kitploit:~

  chmod +x start_dashboard.sh
  ./start_dashboard.sh
  

2. オフライン（サーバーレス）実行

ローカルサーバーを一切立てずに直接実行するには：

1. web/ディレクトリに移動します。
2. index.htmlファイルをダブルクリックして、ブラウザで直接開きます。

3. 手動サーバーによる起動

Pythonサーバーを手動で起動する場合：

python -m http.server 8080

その後、ブラウザでhttp://localhost:8080/web/index.htmlにアクセスしてください。

🔄 CI/CDと自動セキュリティ/品質スキャン

本プロジェクトは、サイバーセキュリティ標準に準拠したソフトウェアエンジニアリング（DevSecOps）の原則に基づいて管理されています。リポジトリへのpushまたはpull requestのたびに、GitHub Actionsは次のパイプラインを実行します：

1. マルチOSサポート（Matrix Build）： エージェントのコードはubuntu-latestとwindows-latestの両方のシステムでテストされ、クロスプラットフォームの互換性が検証されます。
2. 静的コード解析（Linter）： flake8ツールを使用して、Pythonのコーディング標準（PEP 8）が検査されます。
3. 静的セキュリティ分析（Bandit Scan）： banditツールを使用して、コード内で発生し得る重大な脆弱性パターンが自動的にスキャンされます（すべてのfalse-positiveケースは、サイバーセキュリティ標準に従って# nosecでマークされています）。
4. パイプライン統合テスト： exploit_sim.py | detector.pyパイプラインが実行され、エンドツーエンドのエクスプロイト・検知サイクルがシミュレートされます。
5. レポート出力（Artifacts）： 正常に動作したPoCの結果として生成されたdetection_results.jsonが、自動的にzipファイルとしてActionsの出力にアップロードされます。

PoCターミナル出力のプレビュー：

⚠️ 法的免責事項

このプロジェクトは学術および教育目的のみです。すべてのテストは、管理されたラボ環境の隔離された仮想マシン上で実施されます。実際のデバイスや第三者システムへの攻撃行為は違法であり、このプロジェクトの範囲外です。

📄 ライセンス

このプロジェクトはGNU General Public License v3.0の下でライセンスされています。