靜態分析APK檔案發現APP應用硬編碼密碼外洩的範例分析

今天給大家分享的Writeup是一篇關於安卓APP的靜態分析，由於該APP存在不安全存儲和硬編碼密碼洩露問題，導致可以登錄其短信管理系統，劫持其短信接口配置，以下為相關分析研究，。

著手開始

由於眾測專案範圍涉及到相關廠商的某款安卓APP，所以我就在我的安卓手機中下載了這款APP應用，並把其APK文件拿出來做靜態分析。在此推薦兩個原生快速的APK下載網址：

https://apk.support/apk-downloader

https://apkpure.com/

獲得了APK檔案之後，我們需要對它進行反編譯找到其中的Java類別檔案進行分析，這裡可以安裝以下兩個工具：

https://github. com/pxb1988/dex2jar

https://mac.filehorse.com/download-jd-gui-java-decompiler/

安裝了上述工具後，我們把目標APP的APK檔案放到另一個單獨資料夾中，把其後綴由.apk更改為.zip，然後解壓縮zip文件，之後我們就可以看到一些xml文檔、路徑文件、模板資源文件等，在這些文件中我們的目標是classes.dex文件，解壓縮後一般會發現一個或多個classes.dex檔案。下一步，我們可以透過使用dex2jar 工具，將dex文件轉換為java文件，具體命令如下：

dex2jar classes.dex

##如果該命令不管用，那麼可以用dex2jar的另一個版本指令：

d2j-dex2jar classes.dex

執行上述指令之後會在資料夾內產生如classes_dex2jar. jar的java文件，有了該文件後，我們就要用另一個好用的工具來對它反編譯了，這裡我個人喜歡用的是JD-GUI，https://github.com/java-decompiler /jd-gui，用它打開生成的jar檔後我們就能看到很多java資源文件，還能把這些不同資源文件進行保存閱讀。

有了已儲存的資源檔案程式碼，我們要盡量從中找出一些問題來，這裡我推薦一個工具-動化行動安全滲透測試框架：    Mobile Security Framework（MobSF） ，它是一款智慧、一體化的開源行動應用(Android/iOS)自動滲透測試框架，支援二進位檔案(APK & IPA)和原始碼壓縮包，用它可以進行靜態和動態的分析。       

程式碼分析

完成以上工作後，我們可以深入分析目標安卓APP的程式碼了。當我坐下來按照我的檢查清單分析時，不久我就發現其中一個叫Constant.java的文件，它位於APP的SMS路徑下，包含了一些零散的信息，如Username、Loacation、Password等硬編碼服務資訊以及簡訊發送介面（SMS API）的URL路徑。大概情況如下：

進一步分析發現，該APP使用了reson8公司的簡訊即時發送平台進行商業化推廣，https://www.reson8.ae/，我瀏覽了reson8公司網站，發現其具備用戶登入接口，所以我就想到了上述靜態分析中洩露的Username和Password信息，直接把它拿來這裡登錄用看看，果然一輸入提交我就進入了目標APP公司的短信發送管理系統了：

該管理系統就是一個SMS API網關，透過它可以實現簡訊定向發送設置，行銷升級和充值等管理操作，更關鍵的是可以下載用戶的手機號碼。

總結

在對APP做動態和其它分析之前，建議對其做一些靜態分析，可以按照自己的檢查列表依次進行，從中或許可以獲取到一些意想不到的零散資訊.對於APP應用公司來說，千萬要避免在APP中儲存一些密碼憑證相關的訊息，即使有必要也需要進行一些適當的加密處理。

以上是靜態分析APK檔案發現APP應用硬編碼密碼外洩的範例分析的詳細內容。更多資訊請關注PHP中文網其他相關文章！