APKHunt | Analisador Estático OWASP MASVS

APKHunt é uma ferramenta abrangente de análise estática de código para aplicativos Android, baseada no framework OWASP MASVS. Embora o APKHunt seja voltado principalmente para desenvolvedores de aplicativos móveis e testadores de segurança, qualquer pessoa pode usá-lo para identificar e corrigir potenciais vulnerabilidades de segurança em seu código.

Com o APKHunt, arquitetos ou desenvolvedores de software móvel podem realizar revisões de código minuciosas para garantir a segurança e integridade de seus aplicativos móveis, enquanto testadores de segurança podem usar a ferramenta para confirmar a completude e consistência de seus resultados de teste. Seja você um desenvolvedor que busca criar aplicativos seguros ou um testador de segurança responsável por garantir sua segurança, o APKHunt pode ser um recurso inestimável para o seu trabalho.

NOTA: É baseado no OWASP MASVS v1.5.0, lançado em janeiro de 2023.

Black Hat Asia Arsenal 2023

https://www.blackhat.com/asia-23/arsenal/schedule/#apkhunt--owasp-masvs-static-analyzer-31003

🎯 Funcionalidades

• Cobertura de varredura: Abrange a maioria dos casos de teste relacionados a SAST (Static Application Security Testing) do framework OWASP MASVS.
• Varredura de múltiplos APKs: Suporta varredura de múltiplos arquivos APK em um determinado caminho ou pasta.
• Varredura otimizada: Regras específicas são projetadas para verificar sinks de segurança particulares, resultando em um processo de varredura quase preciso.
• Baixa taxa de falsos positivos: Projetado para identificar e destacar a localização exata de potenciais vulnerabilidades no código-fonte.
• Formato de saída: Os resultados são fornecidos em formato de arquivo TXT para fácil leitura por parte dos usuários finais.

🕸️ Instalação

1. git clone https://github.com/Cyber-Buddy/APKHunt.git
2. cd APKHunt
3. go run apkhunt.go

Requisitos:

• Instalar Git: sudo apt-get install git
• Instalar Golang: sudo apt install golang-go
• Instalar JADX: sudo apt-get install jadx
• Instalar Dex2jar: sudo apt-get install dex2jar

Limitação:

• Suportado apenas em ambientes Linux

⚙️ Uso

      _ _   __ __  _   __  _   _                _   
     / _ \ | _ _ \| | / / | | | |              | |  
    / /_\ \| |_/ /| |/ /  | |_| | _   _   _ _  | |_ 
    |  _  ||  __/ |    \  |  _  || | | |/  _  \|  _|                                                                                     
    | | | || |    | |\  \ | | | || |_| || | | || |_                                                                                      
    \_| |_/\_|    \_| \_/ \_| |_/\ _ _ /|_| |_|\_ _|                                                                                     
    ------------------------------------------------                                                                                     
    Analisador Estático OWASP MASVS  

Uso do APKHunt:                                                                                                                       
      go run apkhunt.go [opções] {arquivo.apk}                                                                                        

Opções:                                                                                                                             
     -h     Para ajuda                                                                                                                 
     -p     Fornecer o caminho do arquivo apk
     -m     Fornecer o caminho da pasta para varredura de múltiplos apks
     -l     Para registro (.txt file)

Exemplos:                                                                                                                            
     APKHunt.go -p /Downloads/android_app.apk                                                                                        
     APKHunt.go -p /Downloads/android_app.apk -l
     APKHunt.go -m /Downloads/android_apps/
     APKHunt.go -m /Downloads/android_apps/ -l

📱 Cobertura de casos de teste de segurança

O OWASP MASVS (Mobile Application Security Verification Standard) é o padrão da indústria para segurança de aplicativos móveis. Ele pode ser usado por arquitetos e desenvolvedores de software móvel que buscam desenvolver aplicativos móveis seguros, bem como por testadores de segurança para garantir a completude e consistência dos resultados dos testes.

💻 Demonstração

https://user-images.githubusercontent.com/32319538/211979260-194e858b-373a-4911-8c56-78d1d568d3aa.mp4

🚧 Funcionalidades Futuras

• Varredura de múltiplos arquivos APK - CONCLUÍDO ☺️
• Mais formatos de saída, como HTML - Em órbita externa! 🤔
• Integração com ferramentas de terceiros - Não pode confirmar! 😬

🤝 Contribuição

Adoraríamos receber qualquer tipo de contribuição da comunidade. Por favor, forneça suas valiosas sugestões ou feedback para tornar esta ferramenta ainda mais incrível.

⚠️ Aviso Legal

Este projeto foi criado para ajudar a comunidade de segurança da informação. É importante respeitar sua filosofia, valores e intenções centrais. Por favor, evite usá-lo para qualquer propósito prejudicial, malicioso ou maligno.

🧾 Licença

Este projeto está licenciado sob a GNU General Public License v3.0

🧘‍♂️ Desenvolvedores do Projeto

• Sumit Kalaria | Twitter | Linkedin
• Mrunal Chawda | Twitter | Linkedin

💐 Créditos

• RedHunt Labs