CVE研究およびPoCラボ — Androidセキュリティ分析

👨‍🏫 指導教員情報

氏名	Keyvan Arasteh
GitHub	@keyvanarasteh
メール	[email protected]
LinkedIn	keyvanarasteh
ウェブサイト	qline.tech

👤 学生情報

氏名	Baha Furkan Yıldız
学籍番号	2520****1009

📚 授業情報

授業名	侵入テスト
授業コード	BGT006
単位	3 AKTS
前提条件	ネットワーク基礎、Linux CLI
学期	2025-2026 春学期

🚀 プロジェクト概要と範囲

このプロジェクトは、イスティニエ大学情報セキュリティ技術プログラムの侵入テスト（BGT006）コースの最終課題として開発されました。プロジェクトでは、Androidエコシステムに影響を与える3つの異なる最新の脆弱性（CVE-2024-0044、CVE-2024-43093、CVE-2024-23706）を詳細に調査し、隔離されたラボ環境を構築し、サイバー捜査の方法論で分析しました。

🎯 解決する問題とプロジェクトの目的

従来のAndroidセキュリティ分析は、多くの場合、理論的なドキュメントや静的画像のみで構成されています。このプロジェクトは、攻撃と防御のサイクルを動作するコードで組み合わせることで、以下の根本的な問題を解決します：

脆弱性のライブ分析： CVE-2024-0044などの重大な権限昇格（LPE）の脆弱性がAndroidログ層（logcat）に残す痕跡をライブで捕捉します。
レッドチーム＆ブルーチームの相関： レッドチームのエクスプロイトツール（exploit_sim.py）とブルーチームのログ監視検出器（detector.py）をエンドツーエンドで接続し、完全な攻撃・防御PoC（Proof of Concept）を提供します。
製品化されたセキュリティ出力： 検出されたアラームをSIEM標準に準拠した即時JSON/CSVレポートに変換し、中央表示パネル（ダッシュボード）に供給します。

⚡ 単一コマンドで動作するPoC（攻撃・検知シミュレーション）

プロジェクトをクローンしたユーザーが数秒以内に実行して出力を確認できるよう、単一コマンドで動作するPoCランチャー（run_poc.bat / run_poc.sh）が追加されています。これらのスクリプトは、レッドチームのエクスプロイト手順をシミュレートし、ブルーチームの検出器がアラームを生成してreports/detection_results.jsonファイルに書き込むことを可能にします。詳細な実行手順については、セットアップと実行セクションを参照してください。

📊 分析された脆弱性の概要表

CVEコード	脆弱性の種類	CVSSv3スコア	影響を受けるコンポーネント	攻撃ベクトル
CVE-2024-0044	Run-as UID Bypass (LPE & RCE)	8.8（高）	Android System Server	ローカル（ADB / 悪意のあるアプリ）
CVE-2024-43093	SQLite & DocumentProvider Bypass	7.8（高）	Android SQLite Library	ローカル（メディア/ファイルアクセス）
CVE-2024-23706	Package Manager Bypass	7.8（高）	Android Package Manager	ローカル（アプリインストール）

🔌 中間試験モジュール（NetVanguard）の統合

プロジェクトで開発されたsrc/detector.pyエンドポイントログ分析エージェントは、中間試験プロジェクトとして実装されたNetVanguard中央異常監視・アラームパネルに統合されています。エミュレータ上で発生した重大な脆弱性シグネチャがネットワーク経由でNetVanguardバックエンドエンジンに転送され、中央監視（SIEM）アーキテクチャがシミュレートされています。

🕵️ ログ分析エージェント（src/detector.py）の動作アーキテクチャ

脆弱性検知エージェント（src/detector.py）は、Androidデバイス上で実行されるエクスプロイト活動を検出するために設計された軽量（lightweight）なエンドポイントログ監視エンジンです。

主な機能と動作モード：

柔軟なログ入力（3つの異なるモード）：
- ライブADB Logcatストリーム： adb connectコマンドでエミュレータに直接接続し、デバイスログをライブで監視します。
- パイプライン / Stdinモード： adb logcat | python src/detector.pyアーキテクチャにより、他のCLIツールとパイプ接続できます。
- ファイル追跡（Tail -f）： 事前に記録されたログファイル（.log）を動的に1行ずつ監視します。
- フォールバック（手動入力）： システムにADBやログファイルが設定されていない場合、テスト目的で手動入力されたログ行をフィルタリングします（ライブシミュレーションモジュール）。
ルールベースのシグネチャマッチング：
- .envファイルのDETECTION_KEYWORDS変数から供給されます。
- Android Runtimeのクラッシュ（SIGSEGV）、パッケージインストールエラー（SIGABRT）、クラッシュしたセキュアアプリ（Process has died）などの重大なエクスプロイトシグネチャを捕捉すると、即座にターミナルとログに[TEHLIKE - ALARM]を生成します。

🛠️ 使用技術

技術	用途
Python 3.x	検知エンジン、攻撃シミュレーション
Android SDK / ADB	エミュレータ管理、デバイス通信
Docker	隔離ラボ環境のコンテナ化
Flask	Web監視パネル
Logcat	Androidシステムログ分析

📂 プロジェクトディレクトリ構造

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 分析およびシミュレーション方法論

このプロジェクトでは、脆弱性分析と防御シミュレーションは、4つの基本フェーズからなるサイバーセキュリティサイクルとして扱われています：

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

静的・理論的分析： AOSP（Android Open Source Project）のソースコードを調査し、UIDマッチング、SQLiteデータベースのアクセス制限、パッケージインストールメカニズムにおける論理的な欠陥を特定しました。
隔離ラボ環境： Androidエミュレータ（API 33-34）とハニーポット構成は、Dockerコンテナにより隔離された侵入テストネットワークに配置されました。
動的ロギングと検知： 脆弱性がトリガーされたときに発生するクラッシュやバイパスの痕跡（SIGSEGVなど）は、src/detector.py脆弱性検知エージェントによってフィルタリングされ捕捉されました。
ダッシュボードの可視化： 収集されたデータは、管理者やアナリストが理解できるリスクマトリックス、攻撃チェーン図、ライブターミナルシミュレーションで強化され、web/インターフェースに反映されました。

セットアップと実行

前提条件

Python 3.8+
Android SDK (API Level 33-34)
Docker & Docker Compose
ADB (Android Debug Bridge)

ステップ1：準備

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

ステップ2：実行オプション

🚀 オプションA：ワンクリックPoCシミュレーション（最速の方法）

インストールやエミュレータ設定を一切必要とせず、攻撃・検知メカニズムをエンドツーエンドでテストするには：

Windows（ダブルクリックまたはCMD）：
```
run_poc.bat
```
macOS / Linux（ターミナル）：
```
bash run_poc.sh
```

CVE研究およびPoCラボ — Androidセキュリティ分析

👨‍🏫 指導教員情報

氏名	Keyvan Arasteh
GitHub	@keyvanarasteh
メール	[email protected]
LinkedIn	keyvanarasteh
ウェブサイト	qline.tech

👤 学生情報

氏名	Baha Furkan Yıldız
学籍番号	2520****1009

📚 授業情報

授業名	侵入テスト
授業コード	BGT006
単位	3 AKTS
前提条件	ネットワーク基礎、Linux CLI
学期	2025-2026 春学期

🚀 プロジェクト概要と範囲

🎯 解決する問題とプロジェクトの目的

脆弱性のライブ分析： CVE-2024-0044などの重大な権限昇格（LPE）の脆弱性がAndroidログ層（logcat）に残す痕跡をライブで捕捉します。
レッドチーム＆ブルーチームの相関： レッドチームのエクスプロイトツール（exploit_sim.py）とブルーチームのログ監視検出器（detector.py）をエンドツーエンドで接続し、完全な攻撃・防御PoC（Proof of Concept）を提供します。
製品化されたセキュリティ出力： 検出されたアラームをSIEM標準に準拠した即時JSON/CSVレポートに変換し、中央表示パネル（ダッシュボード）に供給します。

⚡ 単一コマンドで動作するPoC（攻撃・検知シミュレーション）

📊 分析された脆弱性の概要表

CVEコード	脆弱性の種類	CVSSv3スコア	影響を受けるコンポーネント	攻撃ベクトル
CVE-2024-0044	Run-as UID Bypass (LPE & RCE)	8.8（高）	Android System Server	ローカル（ADB / 悪意のあるアプリ）
CVE-2024-43093	SQLite & DocumentProvider Bypass	7.8（高）	Android SQLite Library	ローカル（メディア/ファイルアクセス）
CVE-2024-23706	Package Manager Bypass	7.8（高）	Android Package Manager	ローカル（アプリインストール）

🔌 中間試験モジュール（NetVanguard）の統合

🕵️ ログ分析エージェント（src/detector.py）の動作アーキテクチャ

主な機能と動作モード：

柔軟なログ入力（3つの異なるモード）：
- ライブADB Logcatストリーム： adb connectコマンドでエミュレータに直接接続し、デバイスログをライブで監視します。
- パイプライン / Stdinモード： adb logcat | python src/detector.pyアーキテクチャにより、他のCLIツールとパイプ接続できます。
- ファイル追跡（Tail -f）： 事前に記録されたログファイル（.log）を動的に1行ずつ監視します。
- フォールバック（手動入力）： システムにADBやログファイルが設定されていない場合、テスト目的で手動入力されたログ行をフィルタリングします（ライブシミュレーションモジュール）。
ルールベースのシグネチャマッチング：
- .envファイルのDETECTION_KEYWORDS変数から供給されます。
- Android Runtimeのクラッシュ（SIGSEGV）、パッケージインストールエラー（SIGABRT）、クラッシュしたセキュアアプリ（Process has died）などの重大なエクスプロイトシグネチャを捕捉すると、即座にターミナルとログに[TEHLIKE - ALARM]を生成します。

🛠️ 使用技術

技術	用途
Python 3.x	検知エンジン、攻撃シミュレーション
Android SDK / ADB	エミュレータ管理、デバイス通信
Docker	隔離ラボ環境のコンテナ化
Flask	Web監視パネル
Logcat	Androidシステムログ分析

📂 プロジェクトディレクトリ構造

Android-rce-analizi/
├── .github/
│   └── workflows/
│       └── detector_test.yml  # GitHub Actions (CI/CD) Otomatik Test Yapılandırması
├── .gitattributes             # GitHub dil istatistikleri ve dosya nitelikleri yapılandırması
├── README.md                  # Proje ana belgesi
├── ROADMAP.md                 # Proje yol haritası (Faz 0-5)
├── start_dashboard.bat        # Windows için Web Dashboard başlatıcı
├── start_dashboard.sh         # macOS/Linux için Web Dashboard başlatıcı
├── run_poc.bat                # Windows için tek tıkla çalışan PoC simülatörü
├── run_poc.sh                 # macOS/Linux için tek tıkla çalışan PoC simülatörü
├── .gitignore                 # Git takip dışı dosyalar
├── .env.example               # Ortam değişkenleri şablonu
├── Dockerfile                 # Docker yapılandırması
├── docker-compose.yml         # Çoklu konteyner yapılandırması
├── LICENSE                    # Lisans dosyası
├── mitigation/                # Zafiyet azaltma ve düzeltme (patch) dosyaları
│   ├── cve_2024_0044_patch.diff
│   ├── cve_2024_23706_mitigation.md
│   └── cve_2024_43093_mitigation.md
├── src/                       # Kaynak kodlar
│   ├── detector.py            # Uç nokta log analiz ajanı (Gerçek zamanlı tespit motoru)
│   ├── exploit_sim.py         # Kırmızı Takım (Red Team) zafiyet istismar simülatörü
│   └── test_detector.py       # Ajan için yazılmış otomatik birim (unit) testleri
├── reports/                   # Simüle edilmiş tarama ve tespit raporları
│   ├── nessus_scan.csv        # Simüle edilmiş Nessus zafiyet tarama çıktısı
│   └── detection_results.json # Tespit motorunun anlık olarak kaydettiği log çıktıları
├── web/                       # Web Dashboard arayüzü
│   ├── index.html             # Ana dashboard HTML dosyası
│   ├── css/style.css          # Arayüz stilleri
│   └── js/main.js             # Arayüz dinamikleri ve terminal simülatörü
├── docs/                      # Dokümantasyon
│   ├── assets/                # Görseller ve medya dosyaları (Demo GIF dahil)
│   ├── modules/               # Modül belgeleri
│   ├── references/            # Referans kaynakları
│   └── research/              # Derinlemesine araştırma belgeleri
│       ├── 01_zafiyet_analizi.md
│       ├── 02_teknik_mekanizma.md
│       ├── 03_saldirgan_perspektifi.md
│       ├── cve_2024_23706.md
│       ├── cve_2024_43093.md
│       ├── detector_test_output.md  # Test rapor çıktısı
│       └── final_rapor.md           # Ders teslim final raporu
└── honeypot/                  # Honeypot ortam dosyaları (Emülatör kurulum rehberi)

🔬 分析およびシミュレーション方法論

このプロジェクトでは、脆弱性分析と防御シミュレーションは、4つの基本フェーズからなるサイバーセキュリティサイクルとして扱われています：

graph TD
    A["1. Zafiyet Analizi & Statik İnceleme"] --> B["2. İzole Lab Ortamı Kurulumu"]
    B --> C["3. İstismar Simülasyonu & Dinamik Loglama"]
    C --> D["4. Korelasyon & Görsel Dashboard"]

静的・理論的分析： AOSP（Android Open Source Project）のソースコードを調査し、UIDマッチング、SQLiteデータベースのアクセス制限、パッケージインストールメカニズムにおける論理的な欠陥を特定しました。
隔離ラボ環境： Androidエミュレータ（API 33-34）とハニーポット構成は、Dockerコンテナにより隔離された侵入テストネットワークに配置されました。
動的ロギングと検知： 脆弱性がトリガーされたときに発生するクラッシュやバイパスの痕跡（SIGSEGVなど）は、src/detector.py脆弱性検知エージェントによってフィルタリングされ捕捉されました。
ダッシュボードの可視化： 収集されたデータは、管理者やアナリストが理解できるリスクマトリックス、攻撃チェーン図、ライブターミナルシミュレーションで強化され、web/インターフェースに反映されました。

セットアップと実行

前提条件

Python 3.8+
Android SDK (API Level 33-34)
Docker & Docker Compose
ADB (Android Debug Bridge)

ステップ1：準備

# 1. Repoyu klonlayın ve dizine gidin
git clone https://github.com/bfurkanyildiz/Android-rce-analizi.git
cd Android-rce-analizi

# 2. Ortam değişkenlerini hazırlayın (.env olmadan varsayılan ayarlar kullanılır)
cp .env.example .env

ステップ2：実行オプション

🚀 オプションA：ワンクリックPoCシミュレーション（最速の方法）

インストールやエミュレータ設定を一切必要とせず、攻撃・検知メカニズムをエンドツーエンドでテストするには：

Windows（ダブルクリックまたはCMD）：
```
run_poc.bat
```
macOS / Linux（ターミナル）：
```
bash run_poc.sh
```

Android-rce-analizi

人気

CVE研究およびPoCラボ — Androidセキュリティ分析

👨‍🏫 指導教員情報

👤 学生情報

📚 授業情報

🚀 プロジェクト概要と範囲

🎯 解決する問題とプロジェクトの目的

⚡ 単一コマンドで動作するPoC（攻撃・検知シミュレーション）

📊 分析された脆弱性の概要表

🔌 中間試験モジュール（NetVanguard）の統合

🕵️ ログ分析エージェント（src/detector.py）の動作アーキテクチャ

主な機能と動作モード：

🛠️ 使用技術

📂 プロジェクトディレクトリ構造

🔬 分析およびシミュレーション方法論

セットアップと実行

前提条件

ステップ1：準備

ステップ2：実行オプション

🚀 オプションA：ワンクリックPoCシミュレーション（最速の方法）

Android-rce-analizi

人気

CVE研究およびPoCラボ — Androidセキュリティ分析

👨‍🏫 指導教員情報

👤 学生情報

📚 授業情報

🚀 プロジェクト概要と範囲

🎯 解決する問題とプロジェクトの目的

⚡ 単一コマンドで動作するPoC（攻撃・検知シミュレーション）

📊 分析された脆弱性の概要表

🔌 中間試験モジュール（NetVanguard）の統合

🕵️ ログ分析エージェント（src/detector.py）の動作アーキテクチャ

主な機能と動作モード：

🛠️ 使用技術

📂 プロジェクトディレクトリ構造

🔬 分析およびシミュレーション方法論

セットアップと実行

前提条件

ステップ1：準備

ステップ2：実行オプション

🚀 オプションA：ワンクリックPoCシミュレーション（最速の方法）