🚨 Репозиторий демонстраций угроз безопасности Android

Обширная коллекция proof-of-concept уязвимостей Android и векторов атак

Этот репозиторий служит образовательным ресурсом, демонстрирующим реальные угрозы безопасности Android и соответствующие стратегии их устранения. Каждая демонстрация включает рабочие примеры кода, подробные векторы атак и средства защиты, чтобы помочь разработчикам понять и предотвратить эти уязвимости в production-приложениях.

⚡ Этот репозиторий активно поддерживается и постоянно расширяется

🎯 Цели репозитория

🔍 Демонстрировать реальные уязвимости Android с рабочим proof-of-concept кодом
🛡️ Предоставлять средства защиты и стратегии устранения для каждой угрозы
📚 Обучать разработчиков распространенным ошибкам безопасности Android
🧪 Проверять инструменты безопасности, такие как MobSF, и их способности обнаружения уязвимостей
⚡ Исследовать передовые методы эксплуатации Android

🗂️ Обзор категорий угроз

🏆 Избранная демонстрация: Уязвимость Janus (CVE-2017-13156)

Моя самая комплексная и технически продвинутая демонстрация

Полное воспроизведение известной уязвимости обхода подписи Janus, которая затрагивала Android 6.0 и более ранние версии.

Что она демонстрирует:

Двуликая конструкция APK, при которой PackageManager и ART Runtime по-разному обрабатывают один и тот же файл
Обход проверки подписи, позволяющий выполнение вредоносного кода с действительными сертификатами
Пользовательский инструментарий Python для манипуляции APK и эксплуатации
Реальная проверка предупреждений безопасности MobSF о minSdkVersion

Технические достижения:

✅ Полный обход подписи APK на Android 6.0
✅ Инъекция вредоносного DEX с сохранением легитимной подписи
✅ Пользовательские скрипты эксплуатации (make_janus_proper_old.py, scam_android.py)
✅ Детальный криминалистический анализ с доказательствами logcat

📁 Посмотреть демонстрацию уязвимости Janus →

📦 Полный каталог угроз

1. 🎭 Имитация приложений и фишинг

Угроза	Описание	Демо-приложения
Поддельное банковское приложение	Клон интерфейса OCBC Bank с изменёнными бэкенд-точками	`FakeApp/ocbcClone/`

Вектор атаки: Декомпиляция APK → изменение точек → переупаковка → боковая загрузка Воздействие: Сбор учётных данных, финансовое мошенничество Смягчение: Проверка подписи приложения, безопасные каналы распространения

2. 📡 Эксплуатация Broadcast Receiver

Компонент	Описание	Демо-приложения

Вектор атаки: Обход пользовательских разрешений → повтор передачи → несанкционированные действия Воздействие: Удалённый запуск чувствительной функциональности, DoS-атаки Смягчение: Разрешения уровня подписи, приёмники только для внутреннего использования

📁 Посмотреть демонстрацию Broadcast Receiver →

3. 🗂️ Утечка данных через внешнее хранилище

Компонент	Описание	Демо-приложения

Вектор атаки: Злоупотребление разрешением READ_EXTERNAL_STORAGE → рекурсивное сканирование файлов → эксфильтрация данных Воздействие: Раскрытие чувствительных данных, кража учётных данных Смягчение: Шифрование AES, Android Keystore, scoped storage (API 29+)

📁 Посмотреть демонстрацию внешнего хранилища →

📁 Посмотреть также демонстрацию WRITE_EXTERNAL_STORAGE! →

4. 🔓 Эксплуатация рутированных устройств

Угроза	Описание	Демо-приложения
DoS на основе root	Оптимизатор батареи, повреждающий файлы сессий банковского приложения	`rootedDevice Threat/batteryBooster/`

Вектор атаки: Повышение привилегий root → вмешательство в файловую систему → повреждение сессии Воздействие: Принудительные выходы из системы, ухудшение пользовательского опыта, нестабильность приложения Смягчение: Обнаружение root, SafetyNet / Play Integrity API, безопасное хранилище

📁 Посмотреть демонстрацию рутированного устройства →

🛠️ Детали технической реализации

🔧 Стек разработки

Фронтенд: React Native (Expo и Native)
Бэкенд: Supabase, Node.js
Безопасность: Android Keystore, шифрование AES (crypto-js)
Инструменты: Скрипты эксплуатации на Python, инструменты манипуляции APK
Тестирование: Android Studio AVD, несколько уровней API (23-36)

📱 Протестированные окружения

Android 6.0 (API 23) - цель уязвимости Janus
Android 9.0 (API 28) - демонстрации внешнего хранилища
Android 10+ (API 29+) - рутированная среда
Android 16 (API 36) - современные средства безопасности
Архитектуры: arm64-v8a, x86_64

🧪 Фреймворк симуляции атак

Каждая демонстрация включает:

✅ Приложение-жертва (уязвимая цель)
✅ Приложение-атакующий (инструмент эксплуатации)
✅ Пошаговое руководство по воспроизведению
✅ Средства защиты и примеры смягчения
✅ Анализ реального воздействия

🎓 Образовательная ценность

📚 Результаты обучения

После изучения этого репозитория разработчики поймут:

Распространённые паттерны уязвимостей Android и их коренные причины
Методы эксплуатации, используемые реальными атакующими
Средства защиты, которые эффективно предотвращают эти атаки
Валидация инструментов — почему сканеры безопасности отмечают определённые паттерны
Безопасные методы разработки для Android-приложений

🚀 Руководство по быстрому старту

1️⃣ Настройка окружения

# Клонировать репозиторий
git clone https://github.com/nictjh/threatDemos.git
cd threatDemos

# Установить Android SDK и инструменты сборки
# Настроить эмуляторы Android Studio AVD
# Установить Node.js, Python 3, React Native CLI

2️⃣ Запуск демонстраций

Каждая категория угроз имеет свои инструкции по настройке: обратитесь к README.md в соответствующей директории

# Пример: Уязвимость Janus
cd "JanusVuln/"
python3 make_janus_proper_old.py app-release23.apk nuclear_mainapp.dex janus-test.apk
python3 scam_android.py janus-test.apk janus-final.apk

# Пример: Угроза внешнего хранилища
cd "READ_EXTERNAL_STORAGE Threat/mobile/"
npm install
npm run android

3️⃣ Тестирование безопасности

Запускайте каждую демонстрацию в контролируемых средах:

Используйте Android Studio AVD для безопасного тестирования
Отслеживайте с помощью adb logcat для доказательств эксплуатации
Анализируйте APK с помощью MobSF, чтобы понять предупреждения безопасности

🏆 Основные моменты исследований

🥇 Самая продвинутая демонстрация: Уязвимость Janus

Полное воспроизведение CVE-2017-13156 на Android 6.0
Пользовательский фреймворк эксплуатации на Python с несколькими попытками итераций
Реальный обход подписи с работающей установкой APK
Криминалистические доказательства, захваченные в logcat, демонстрирующие выполнение кода

🎯 Реальная актуальность

Фишинг банковских приложений с пиксельно точными клонами интерфейса
Сценарии злоупотребления разрешениями, затрагивающие миллионы устройств
Эксплуатация root, нацеленная на финансовые приложения
Валидация защиты, доказывающая эффективность средств безопасности

🛡️ Собранные рекомендации по безопасности

🔒 Для разработчиков

Всегда устанавливайте минимальные версии SDK на последние исправленные выпуски Android
Используйте разрешения уровня подписи для чувствительных компонентов
Внедряйте правильное шифрование для внешнего хранилища
Проверяйте подписи APK и используйте Play App Signing
Обнаруживайте рутированные среды в приложениях, чувствительных к безопасности

📊 Статистика демонстраций

🧑‍💻 Автор и исследование

Создано Николасом Током Стажёр-инженер по кибербезопасности CSA

Создано часами обратной разработки, отладки эмуляторов и исследований в области безопасности.

⚠️ Отказ от ответственности за этическое использование

Этот репозиторий предназначен исключительно для образовательных и исследовательских целей. Все демонстрации должны быть:

Использованы только в контролируемых тестовых средах
Никогда не развёрнуты против систем, которые вам не принадлежат
Использованы для улучшения безопасности, а не для эксплуатации уязвимостей
Ответственно распространены в сообществе кибербезопасности

Автор не несёт ответственности за неправильное использование этих образовательных материалов.

Всего категорий угроз	4
Демонстрационных приложений	8+
Продемонстрировано CVE	1 (CVE-2017-13156)
Протестированные уровни API Android	23, 28, 29, 36
Пользовательские скрипты эксплуатации	6+ инструментов Python
Файлы документации	10 подробных README

Популярное

threatDemos

Описание