APKHunt | Статический анализатор OWASP MASVS

APKHunt — это комплексный инструмент статического анализа кода для Android-приложений, основанный на фреймворке OWASP MASVS. Хотя APKHunt предназначен в первую очередь для разработчиков мобильных приложений и тестировщиков безопасности, его может использовать любой желающий для выявления и устранения потенциальных уязвимостей в своём коде.

С помощью APKHunt архитекторы или разработчики мобильного ПО могут проводить тщательные проверки кода, чтобы обеспечить безопасность и целостность своих мобильных приложений, а тестировщики безопасности могут использовать инструмент для подтверждения полноты и непротиворечивости результатов тестирования. Независимо от того, являетесь ли вы разработчиком, стремящимся создавать безопасные приложения, или специалистом по информационной безопасности, отвечающим за их защиту, APKHunt может стать бесценным ресурсом для вашей работы.

ПРИМЕЧАНИЕ: Инструмент основан на OWASP MASVS v1.5.0, выпущенной в январе 2023 года.

Black Hat Asia Arsenal 2023

https://www.blackhat.com/asia-23/arsenal/schedule/#apkhunt--owasp-masvs-static-analyzer-31003

🎯 Возможности

• Охват сканирования: Охватывает большинство тестовых случаев SAST (статического тестирования безопасности приложений) фреймворка OWASP MASVS.
• Сканирование нескольких APK: Поддерживает сканирование нескольких APK-файлов в определённом пути или папке.
• Оптимизированное сканирование: Созданы специальные правила для проверки конкретных источников уязвимостей, что обеспечивает практически точный процесс сканирования.
• Низкий уровень ложных срабатываний: Разработан для точного указания и выделения местоположения потенциальных уязвимостей в исходном коде.
• Формат вывода: Результаты предоставляются в формате TXT для удобства чтения конечными пользователями.

🕸️ Установка

1. git clone https://github.com/Cyber-Buddy/APKHunt.git
2. cd APKHunt
3. go run apkhunt.go

Требования:

• Установите Git: sudo apt-get install git
• Установите Golang: sudo apt install golang-go
• Установите JADX: sudo apt-get install jadx
• Установите Dex2jar: sudo apt-get install dex2jar

Ограничение:

• Поддерживается только в среде Linux.

⚙️ Использование

      _ _   __ __  _   __  _   _                _   
     / _ \ | _ _ \| | / / | | | |              | |  
    / /_\ \| |_/ /| |/ /  | |_| | _   _   _ _  | |_ 
    |  _  ||  __/ |    \  |  _  || | | |/  _  \|  _|                                                                                     
    | | | || |    | |\  \ | | | || |_| || | | || |_                                                                                      
    \_| |_/\_|    \_| \_/ \_| |_/\ _ _ /|_| |_|\_ _|                                                                                     
    ------------------------------------------------                                                                                     
    OWASP MASVS Static Analyzer  

    Использование APKHunt:                                                                                                                       
          go run apkhunt.go [options] {.apk file}                                                                                        

    Параметры:                                                                                                                             
         -h     Для справки                                                                                                                 
         -p     Укажите путь к APK-файлу
         -m     Укажите путь к папке для сканирования нескольких APK
         -l     Для ведения журнала (.txt файл)

    Примеры:                                                                                                                            
         APKHunt.go -p /Downloads/android_app.apk                                                                                        
         APKHunt.go -p /Downloads/android_app.apk -l
         APKHunt.go -m /Downloads/android_apps/
         APKHunt.go -m /Downloads/android_apps/ -l

📱 Охват тестов безопасности

OWASP MASVS (Mobile Application Security Verification Standard) — это отраслевой стандарт безопасности мобильных приложений. Он может использоваться архитекторами и разработчиками мобильного ПО, стремящимися создавать безопасные мобильные приложения, а также тестировщиками безопасности для обеспечения полноты и непротиворечивости результатов тестирования.

💻 Демонстрация

https://user-images.githubusercontent.com/32319538/211979260-194e858b-373a-4911-8c56-78d1d568d3aa.mp4

🚧 Будущие возможности

• Сканирование нескольких APK-файлов - ГОТОВО ☺️
• Другие форматы вывода, например HTML - На орбите! 🤔
• Интеграция со сторонними инструментами - Не могу обещать! 😬

🤝 Вклад

Мы будем рады любым вкладам от сообщества. Пожалуйста, делитесь своими ценными предложениями или отзывами, чтобы сделать этот инструмент ещё более замечательным.

⚠️ Отказ от ответственности

Этот проект создан для помощи сообществу информационной безопасности. Важно уважать его основную философию, ценности и намерения. Пожалуйста, воздержитесь от использования его в каких-либо вредоносных, злонамеренных или злых целях.

🧾 Лицензия

Этот проект лицензирован в соответствии с GNU General Public License v3.0

🧘‍♂️ Разработчик проекта

• Sumit Kalaria | Twitter | Linkedin
• Mrunal Chawda | Twitter | Linkedin

💐 Благодарности

• RedHunt Labs