如何自動化分析Android App 的安全性問題? QARK

如何自動化分析Android App 的安全性問題? QARK

這篇文章主要說明開發中的 Android App 如何在上架前進行初步的安全分析,

有沒有什麼自動化工具可以利用,針對設定與代碼作自動的掃描?

這個工具 QARK (Quick AndroidReview Kit)讓我們可以很方便的在 Linux or Mac 機器上

針對Android App的安全相關問題作自動反組譯與分析。

QARK 可以分析什麼?

  • 有問題的 AndroidManifest設定
  • 潛在風險的程式碼

QARK (Quick Android Review Kit)安裝

下載: https://github.com/linkedin/qark

下載整個 ZIP後解壓縮即可。

基本環境為: Linux or Mac

  • python 2.7.6
  • JRE 1.6+ (preferably 1.7+)
  • OSX or Ubuntu Linux (Others may work, but not fully tested)

全自動執行

python qark.py –source 1 –pathtoapk Sample.apk -e 1 -i 1

互動模式下執行

python qark.py 

 

QARK Main Page

執行後,QARK 一開始會針對AndroidManifest.xml相關的權限與安全作掃描與建議。

QARK Android Static Analysis

接著會將 android APK整個檔案進行反組譯的動作並且進行安全代碼的掃描與分析。
QARK Android Source Decompile

最後會產生一個 report.html整體的安全分析報告。

QARK Report

 

DroidAnalyst

另外介紹一個雲端免費全自動分析個服務 droidanalyst

免費註冊帳號,將APK上傳後將自動作靜態與動態分析

http://droidanalyst.org/

DroidAnalyst Upload

DroidAnalyst分析報告範例

DroidAnalyst Report

Android 分析基本原理

Leave a Reply

Your email address will not be published.