Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2025-02-17 06:28:27 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/mobile-pentesting/android-checklist.md
Translator workflow 6af5d4e1a0 Translated to German
2024-02-10 15:36:32 +00:00

7.1 KiB
Raw Blame History

Android APK Checkliste

Lernen Sie AWS-Hacking von Grund auf mit htARTE (HackTricks AWS Red Team Expert)!

Finden Sie die wichtigsten Schwachstellen, damit Sie sie schneller beheben können. Intruder verfolgt Ihre Angriffsfläche, führt proaktive Bedrohungsscans durch und findet Probleme in Ihrer gesamten Technologieinfrastruktur, von APIs über Webanwendungen bis hin zu Cloud-Systemen. Probieren Sie es heute kostenlos aus.

{% embed url="https://www.intruder.io/?utm_campaign=hacktricks&utm_source=referral" %}

Lernen Sie die Grundlagen von Android

Statische Analyse

  • Überprüfen Sie die Verwendung von Verschleierung, überprüfen Sie, ob das Mobilgerät gerootet wurde, ob ein Emulator verwendet wird und ob Anti-Tampering-Checks durchgeführt werden. Lesen Sie hier mehr dazu.
  • Sensible Anwendungen (wie Bank-Apps) sollten überprüfen, ob das Mobilgerät gerootet ist und entsprechend handeln.
  • Suchen Sie nach interessanten Zeichenketten (Passwörter, URLs, APIs, Verschlüsselung, Hintertüren, Tokens, Bluetooth-UUIDs...).
  • Besondere Aufmerksamkeit gilt den Firebase-APIs.
  • Lesen Sie das Manifest:
  • Überprüfen Sie, ob die Anwendung im Debug-Modus ist und versuchen Sie, ihn "auszunutzen"
  • Überprüfen Sie, ob die APK Backups zulässt
  • Exportierte Aktivitäten
  • Content Provider
  • Externe Dienste
  • Broadcast Receiver
  • URL-Schemas
  • Speichert die Anwendung Daten unsicher intern oder extern](android-app-pentesting/#insecure-data-storage)?
  • Gibt es ein fest codiertes Passwort oder gespeichert auf der Festplatte? Verwendet die App unsichere Kryptografiealgorithmen?
  • Wurden alle Bibliotheken mit dem PIE-Flag kompiliert?
  • Vergessen Sie nicht, dass es eine Reihe von statischen Android-Analysewerkzeugen gibt, die Ihnen während dieser Phase sehr helfen können.

Dynamische Analyse

Einige Informationen zur Verschleierung/Deobfuscation

Finden Sie die wichtigsten Schwachstellen, damit Sie sie schneller beheben können. Intruder verfolgt Ihre Angriffsfläche, führt proaktive Bedrohungsscans durch und findet Probleme in Ihrer gesamten Technologieinfrastruktur, von APIs über Webanwendungen bis hin zu Cloud-Systemen. Probieren Sie es heute kostenlos aus.

{% embed url="https://www.intruder.io/?