안드로이드 침투 테스트

기타 소스코드

다운로드

Android-애플리케이션 침투 테스트

안드로이드 개발

초보자용

Android 아키텍처
모바일 침투 테스트 소개

영어로 된 유튜브 비디오 :

비트주세요
내부 학습자
해킹 단순화

힌디어 YouTube 동영상 :

솔루션 강화
우바이드 아메드

PDF 도서

Android 보안 내부 Android 보안 아키텍처에 대한 심층 가이드
Android 기기용 침투 테스트 학습 실무 가이드
Android 보안 공격 및 방어

Android SSL 고정 우회

Android SSL 고정 우회

안드로이드 애플리케이션에서 버그를 찾는 방법

테스팅-프리다
테스트-Drozer
ADB-명령-치트시트
MobSF를 이용한 자동 분석
테스트-Webview-공격
딥링크 활용

APK 다운로드

https://apk-dl.com/
https://en.uptodown.com/
https://en.aptoide.com/
https://www.apkmirror.com/
https://f-droid.org/en/
https://en.softonic.com/
https://androidapksfree.com/

Windows용 도구

애피

Appie Framework는 Android 애플리케이션 침투 테스트에 사용되는 인기 있는 오픈 소스 프레임워크입니다. Android 애플리케이션 테스트를 용이하게 하기 위해 특별히 설계된 포괄적이고 독립적인 환경을 제공합니다.

이의제기 도구 사용 가이드

이 저장소는 모바일 보안 테스트를 위해 Objection 도구를 사용하는 방법에 대한 포괄적인 가이드를 제공합니다. Objection은 침투 테스터가 탈옥이나 루트 액세스 없이 모바일 애플리케이션의 보안을 평가할 수 있도록 설계된 Frida에서 제공하는 런타임 모바일 탐색 도구 키트입니다.

소개

Objection은 보안 연구원이 런타임에 모바일 애플리케이션의 보안을 탐색하고 테스트할 수 있는 강력한 도구입니다. SSL 고정 우회, 애플리케이션 데이터 조작, 파일 시스템 탐색 등과 같은 작업을 위한 사용하기 쉬운 인터페이스를 제공합니다. Objection은 루팅이나 탈옥 없이 Android와 iOS 기기 모두에서 작동하기 때문에 특히 유용합니다.

특징

SSL 고정 우회 : 모바일 앱에서 SSL 고정을 쉽게 비활성화하여 네트워크 트래픽을 가로챌 수 있습니다.
파일 시스템 탐색 : 런타임 시 모바일 앱의 파일 시스템에 접근하고 조작합니다.
런타임 조작 : 앱이 실행되는 동안 애플리케이션 동작 및 데이터를 수정합니다.
크로스 플랫폼 : Android 및 iOS 장치를 모두 지원합니다.

설치

전제 조건

Objection을 설치하기 전에 시스템에 다음이 설치되어 있는지 확인하십시오.

Python 3.x : Objection은 Python 기반 도구이며 실행하려면 Python 3.x가 필요합니다.
Frida : 이의 제기는 Frida를 비밀리에 사용합니다. pip를 사용하여 Frida를 설치할 수 있습니다.
```
 pip 설치 frida-tools
```
ADB(Android 디버그 브리지) : Android 기기와 상호작용하는 데 필요합니다.

이의제기 설치

pip를 사용하여 Objection을 설치할 수 있습니다.

 pip 설치 반대

설치 후 다음을 실행하여 Objection이 올바르게 설치되었는지 확인합니다.

 이의제기 --도움말

기본 사용법

이의 제기 시작

모바일 애플리케이션에서 Objection을 사용하려면 먼저 앱이 기기에서 실행되고 있는지 확인하세요. 그런 다음 다음 명령을 사용하여 Objection을 시작합니다.

 이의 제기 -g  탐색

모바일 앱의 실제 패키지 이름(예: com.example.app )으로 바꾸세요.

공통 명령

SSL 고정 우회 :
```
 안드로이드 sslpinning 비활성화
```
이 명령은 SSL 고정을 비활성화하여 HTTPS 트래픽을 가로챌 수 있도록 합니다.
파일 시스템 탐색 :
```
 안드로이드 fs ls/
```
앱 파일 시스템의 루트 디렉터리에 있는 파일과 디렉터리를 나열합니다.
SQLite 데이터베이스 덤프 :
```
 안드로이드 sqlite 목록
안드로이드 sqlite 덤프 
```
앱에서 사용하는 SQLite 데이터베이스의 내용을 나열하고 덤프합니다.
키체인/공유 기본 설정 검사 :
```
 안드로이드 환경 설정 목록
iOS 키체인 덤프
```
Android의 공유 기본 설정 또는 iOS의 키체인 데이터를 나열하고 덤프합니다.

고급 사용법

SSL 고정 우회

이의 제기를 사용하면 모바일 애플리케이션에서 SSL 고정을 쉽게 우회할 수 있으며, 이는 보안 평가 중에 HTTPS 트래픽을 가로채고 분석하는 데 유용합니다. 간단히 다음 명령을 사용하십시오.

 안드로이드 sslpinning 비활성화

파일 시스템과 상호 작용

Objection 명령줄에서 직접 앱의 파일 시스템을 탐색하고 조작할 수 있습니다.

파일 목록 :

 안드로이드 fs ls /data/data/com.example.app/files/

파일 다운로드 :

 안드로이드 fs 다운로드 /data/data/com.example.app/files/secret.txt

애플리케이션 데이터 조작

이의 제기를 사용하면 런타임 시 앱에서 사용하는 데이터를 수정할 수 있습니다.

변수 값 변경 :

 안드로이드 후킹 세트 class_variable com.example.app.ClassName 변수 이름 newValue

기능 트리거 :

 안드로이드 후킹 호출 com.example.app.ClassName methodName arg1,arg2

문제 해결

이의 제기 연결되지 않음 : 장치가 USB를 통해 올바르게 연결되어 있고 ADB가 Android 장치에서 실행되고 있는지 확인하십시오. iOS의 경우 Frida가 기기에 올바르게 설치되어 있는지 확인하세요.
SSL 고정이 비활성화되지 않음 : 일부 앱은 Objection의 기본 우회 방법에 저항하는 방식으로 SSL 고정을 구현할 수 있습니다. 이러한 경우 사용자 정의 Frida 스크립트를 사용해야 할 수도 있습니다.