SUPER Android Analyzer

Безопасный, единый, мощный и расширяемый анализатор Android на Rust

SUPER — это консольное приложение, которое можно использовать в Windows, MacOS X и Linux. Оно анализирует файлы .apk на предмет уязвимостей. Анализ выполняется путём распаковки APK и применения набора правил для обнаружения этих уязвимостей.

Но зачем создавать ещё один анализатор? Разве недостаточно MobSF, Qark, Androbugs…? Мы считаем, что недостаточно. У всех них есть две основные проблемы, которые мы хотели исправить: они написаны на Java или Python и их трудно расширять. Они не предназначены для использования компаниями, напрямую работающими с анализом Android, и не ставят такую функциональность на первое место.

Наш подход решает эти проблемы несколькими способами: во-первых, мы решили использовать Rust в качестве языка программирования. Язык, открыто разрабатываемый Mozilla Foundation, даёт нам множество возможностей для работы с регулярными выражениями, файлами и т. д., и, что самое важное, позволяет создавать безопасное программное обеспечение, не зависящее от JVM или JIT-компиляторов. С Rust переполнения стека, ошибки сегментации и т. п. напрямую невозможны, что имеет смысл для приложения, ориентированного на безопасность. Кроме того, это даёт нам достаточно мощности для эффективного анализа, позволяя автоматизировать его при больших объёмах. Это обеспечивается нулевыми затратами абстракций Rust, что даёт эффективность, сравнимую только с C/C++.

Во-вторых, мы сделали программу на 100 % расширяемой: все правила собраны в файле rules.json, и каждая компания или тестировщик могут создавать собственные правила для анализа того, что им нужно. Она также модульная, так что новые разработки могут легко добавлять новые функции. Наконец, система шаблонов для отчётов позволяет пользователям персонализировать отчёт.

Также предоставляются отличные инструменты рецензирования кода непосредственно в HTML-отчёте, так что любой желающий может искать по сгенерированному коду с подсветкой синтаксиса для ещё более качественного анализа уязвимостей.

Установка

Мы выпустили несколько бинарных сборок на странице загрузки для Windows (8.1+), Linux и MacOS X. Пока доступны только 64-битные пакеты. Если вам нужно использовать SUPER в 32-битной системе, вам придётся скомпилировать SUPER из исходников. Для этого нужно установить Rust с помощью rustup.rs.

Примечание: для работы требуется Java 1.7+.

Использование

SUPER очень прост в использовании. Просто поместите нужный .apk в папку downloads (создайте её, если необходимо) и используйте имя файла в качестве аргумента при запуске программы. После выполнения подробный отчёт появится в папке results с именем приложения. Доступно несколько опций использования:

USAGE:
    super [FLAGS] [OPTIONS] <package>

FLAGS:
        --bench       Show benchmarks for the analysis
        --force       If you'd like to force the auditor to do everything from the beginning
    -h, --help        Prints help information
        --html        Generates the reults in HTML format
        --json        Generates the reults in JSON format
        --open        Open the report in a browser once it is complete
    -q, --quiet       If you'd like a zen auditor that won't output anything in stdout
    -a, --test-all    Test all .apk files in the downloads directory
    -V, --version     Prints version information
    -v, --verbose     If you'd like the auditor to talk more than necessary

OPTIONS:
        --dex2jar <dex2jar>                    Where to store the jar files
        --dist <dist>                          Folder where distribution files will be extracted
        --downloads <downloads>                Folder where the downloads are stored
        --jd-cmd <jd-cmd>                      Path to the jd-cmd file
        --min-criticality <min_criticality>    Set a minimum criticality to analyze (Critical, High, Medium, Low)
        --results <results>                    Folder where to store the results
        --rules <rules>                        Path to a JSON rules file
        --template <template>                  Path to a results template file
    -t, --threads <threads>                    Number of threads to use, by default it will use one thread per logical CPU core

ARGS:
    <package>    The package string of the application to test

Участие в разработке

Все желающие могут внести свой вклад в SUPER. Пожалуйста, ознакомьтесь с Руководством по внесению вклада в SUPER, чтобы узнать о порядке действий.

Документация разработчика

Лицензия

Эта программа является свободным программным обеспечением: вы можете распространять и/или изменять её на условиях Стандартной общественной лицензии GNU, опубликованной Фондом свободного программного обеспечения, версии 3 лицензии или (по вашему выбору) любой более поздней версии.