Быстрый набор для проверки Android

Этот инструмент предназначен для поиска различных уязвимостей в Android-приложениях, связанных с безопасностью, как в исходном коде, так и в упакованных APK. Инструмент также способен создавать «Proof-of-Concept» развёртываемые APK и/или ADB-команды, способные эксплуатировать многие из обнаруженных уязвимостей. Нет необходимости рутировать тестовое устройство, так как этот инструмент фокусируется на уязвимостях, которые могут быть использованы в условиях, которые в остальном считаются безопасными.

Требования

Протестировано на Python 2.7.13 и 3.6 Протестировано на OSX, Linux и Windows

Использование

Для получения дополнительных параметров см. команду --help.

APK::

~ qark --apk path/to/my.apk

Файлы исходного кода Java::

~ qark --java path/to/parent/java/folder ~ qark --java path/to/specific/java/file.java

Результаты

Отчёт создаётся в формате JSON и может быть преобразован в другие форматы. Чтобы изменить тип отчёта, используйте флаг --report-type.

Установка

С помощью pip (без проверок безопасности зависимостей)::

~ pip install --user qark # --user нужен только если не используется virtualenv ~ qark --help

С помощью requirements.txt (с проверками безопасности зависимостей)::

~ git clone https://github.com/linkedin/qark ~ cd qark ~ pip install -r requirements.txt ~ pip install . --user # --user нужен только если не используется virtualenv ~ qark --help

Эксплойт APK

QARK может создать базовый эксплойт APK для некоторых из обнаруженных уязвимостей.

Чтобы создать APK с эксплойтом, выполните несколько шагов. Вам понадобится Android SDK v21 и build-tools v21.1.2

1. Установите Android SDK. Его можно получить в разделе «command line tools»: https://developer.android.com/studio/#downloads
2. Распакуйте Android SDK
3. Перейдите в новую папку и сгенерируйте лицензии с помощью bin/sdkmanager --licenses
4. Убедитесь, что сгенерированные лицензии находятся в папке Android SDK
5. Установите SDK и правильную версию build-tools: bin/sdkmanager --install "platforms;android-21" "sources;android-21" "build-tools;21.1.2"

Проверки

QARK — это простой в использовании инструмент, способный находить распространённые уязвимости безопасности в Android-приложениях. В отличие от коммерческих продуктов, он на 100% бесплатен. QARK содержит обучающую информацию, позволяющую специалистам по безопасности находить точные и подробные объяснения уязвимостей. QARK автоматизирует использование нескольких декомпиляторов, объединяя их результаты для получения превосходных результатов при декомпиляции APK. Наконец, главное преимущество QARK перед традиционными инструментами, которые просто указывают на возможные уязвимости, заключается в том, что он может создавать ADB-команды или даже полностью функциональные APK, превращая гипотетические уязвимости в рабочие «POC»-эксплойты.

Ниже перечислены типы уязвимостей безопасности, которые этот инструмент пытается найти:

• Непреднамеренно экспортированные компоненты
• Ненадлежащим образом защищённые экспортированные компоненты
• Intent'ы, уязвимые для перехвата или подслушивания
• Некорректная проверка сертификатов x.509
• Создание файлов, доступных для чтения или записи всем приложениям
• Активности, которые могут раскрывать данные
• Использование Sticky Intent'ов
• Небезопасно созданные Pending Intent'ы
• Отправка небезопасных Broadcast Intent'ов
• Закрытые ключи, встроенные в исходный код
• Слабое или неправильное использование криптографии
• Потенциально эксплуатируемые конфигурации WebView
• Экспортированные Preference Activities
• Tapjacking
• Приложения, которые разрешают резервное копирование
• Приложения, которые доступны для отладки
• Приложения, поддерживающие устаревшие версии API с известными уязвимостями

Уведомление

Примечание: QARK декомпилирует Android-приложения обратно в исходный код. Пожалуйста, не используйте этот инструмент, если это может считаться незаконным в вашей юрисдикции. Если вы не уверены, обратитесь за юридической консультацией.

Если у вас возникнут проблемы на OSX, особенно связанные с исходящим вызовом в Play Store или загрузкой SDK, это, скорее всего, связано с вашей конфигурацией Python/OpenSSL и тем фактом, что недавние изменения в OSX повлияли на Python, установленный через brew. Удаление установки(-й) Python и переустановка из исходного кода может решить ваши проблемы.

Лицензия

Copyright 2015 LinkedIn Corp. Все права защищены.

Copyright 2015 LinkedIn Corp. Licensed under the Apache License, Version 2.0 (the "License"); you may not use this file except in compliance with the License. You may obtain a copy of the License here <http://www.apache.org/licenses/LICENSE-2.0/>_. Unless required by applicable law or agreed to in writing, software distributed under the License is distributed on an "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.