- 2024 -

MobSF移动安全测试框架|自动化静动态app分析框架

MobSF移动安全测试框架|自动化静动态app分析框架

本文转自雨苁 并作补充

移动安全框架（MobSF）是一种自动化的多合一移动应用程序(Android/iOS/Windows)可以进行静态和动态分析的渗透测试，恶意软件分析和安全评估框架。MobSF支持移动应用程序二进制文件（APK，XAPK，IPA和APPX）以及压缩的源代码，并提供REST API以与CI / CD或DevSecOps管道无缝集成。动态分析器可帮助您执行运行时安全性评估和交互式检测。

运行截图示例

静态分析-Android

image

静态分析-Android源树状视图

image

静态分析-iOS

image

动态分析-Android APK

image

Web API查看器

image

项目地址:

Github

安装方法

requirements.txt

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
Django>=3.1.5
lxml>=4.6.2
rsa>=4.7
biplist>=1.0.3
requests>=2.25.1
bs4>=0.0.1
colorlog>=4.7.2
macholib>=1.14
whitenoise>=5.2.0
waitress>=1.4.4;platform_system=='Windows'
gunicorn>=20.0.4;platform_system!='Windows'
psutil>=5.8.0
shelljob>=0.6.2
asn1crypto>=1.4.0
oscrypto>=1.2.1
distro>=1.5.0
IP2Location>=8.5.1
lief>=0.11.0
http-tools>=2.1.0
libsast>=1.3.7
pdfkit>=0.6.1
google-play-scraper>=0.1.2
androguard==3.3.5
apkid==2.1.2
frida==14.2.8
# For semgrep
ruamel.yaml==0.16.10  # pyup: ignore

现在，只要您已安装文档中的所有要求，就可以从pypi https://pypi.org/project/mobsf/安装mobsf

1
2
3
4
5
6
7
8
9
python3 -m venv venv
source venv/bin/activate

pip wheel --wheel-dir=yara-python --build-option="build" --build-option="--enable-dex" git+https://github.com/VirusTotal/yara-python.git@v3.11.0
pip install --no-index --find-links=yara-python yara-python

pip install mobsf
mobsfdb # 迁移数据库
mobsf 127.0.0.1:8000 # 运行mobsf

linux系统安装方法

1
2
3
4
5
git clone https://github.com/MobSF/Mobile-Security-Framework-MobSF.git
cd Mobile-Security-Framework-MobSF
apt-get install python3-venv
pip3 install -r requirements.txt
./setup.sh

在浏览器中打开链接(0.0.0.0:8000)，查看MobSF是否已正确安装。

image

登陆页面

现在MobSF已启动并正在运行，我们可以将虚拟APK（在本例中，我将使用Kyle Benac的InjuredAndroid（在此处））放入MobSF界面，然后看看会发生什么。等待几分钟后，我们可以看到对APK进行了静态分析。现在，在登录页面上，我们可以看到给出了严重性评分。此分数越高，应用程序越安全。接下来，还给出了哈希，APK的文件名和大小。在第一行的第三列中，我们还可以看到软件包名称，主要活动，最小SDK版本和应用程序版本。还给出了应用程序的描述。

image

向下滚动一点后，我们将看到以下内容：

  • 在小卡片中，我们看到了不同的应用程序组件
  • 动态分析选项将帮助MobSF进行运行时分析
  • 查看反编译代码的选项。这是apktool生成的代码。通常，资源文件也将被解码。也可以查看smali代码。使用它，可以更轻松地在单独的Java类中分离和查看源代码。

image

签署者证书分析

在证书列中，我们可以看到签署者证书，在其中可以找到有关开发人员，国家/地区，州，算法类型，位大小等的重要信息。

image

申请权限

此外，我们可以看到应用程序具有的所有权限。
有各种权限被分类为危险或正常。
从安全分析人员的角度来看，重要的是要了解哪些权限可能导致进一步的损害。例如，如果应用程序可以访问外部媒体并将关键信息存储在外部媒体上，则可能会很危险，因为存储在外部媒体上的文件是全局可读和可写的。

image

可浏览的活动和网络安全分析

接下来，在“可浏览的活动”部分中，我们可以看到实现了深层链接架构的所有活动。请参考**此处** 的文章**，**以了解有关深层链接，其实现以及开发的所有信息。

在“网络安全”部分，您可以找到有关与应用程序相关的网络安全问题的一些详细信息。这些问题有时会导致类似MiTM的严重攻击。例如，在下面的屏幕截图中，您可以发现该应用程序未使用已实现的SSL固定机制。

image

清单分析

在下一节中，MobSF分析了清单文件。您可以从android清单文件中找到许多信息，例如导出了哪些活动，是否可调试应用程序，数据模式等。有关参考，请参见下面的屏幕截图。

image

代码分析

MobSF工具最有趣的功能之一是代码分析部分。在本节中，我们可以看到MobSF已经基于OWASP MSTG等行业安全标准做法对应用程序的某些行为进行了分析和比较，并将漏洞映射到OWASP Top10。有趣的是，在这里提到了CWE和CVSS评分，这很有趣。可能会帮助各种分析人员方案，并有助于更轻松地创建报告。

image

相关恶意软件分析

MobSF还托管提供APKiD分析的部分。APKiD是一个开源工具，对识别Android文件中的各种打包程序，编译器，混淆器等非常有用。它类似于APK中的PEiD。在这里，您可以看到它已在APK中检测到反VM代码。

image

与恶意软件分析有关的是域恶意软件检查功能。MobSF在这里提取所有经过硬编码或在应用程序中使用过的URL / IP地址，并显示其恶意软件状态，并使用ip2location给出其地理位置。

image

还可以进行全面的字符串分析。知道恶意软件分析的人员会深入了解字符串，但对于那些不了解字符串的人，字符串是文件中嵌入的ASCII和Unicode可打印字符序列。提取字符串可以提供有关程序功能和与可疑二进制文件关联的指示符的线索。例如，如果APK将某些内容显示为输出，则该流将被调用并因此显示在字符串中。这与strings.xml文件不同。很多时候，与APK通信的第三方IP地址在此处可见。从恶意软件分析的角度来看，这是必不可少的。

image

人们还可以在MobSF中找到硬编码的电子邮件。全部使用反编译的源代码完成。通常，一个pentester可以找到一些重要的电子邮件ID，这些电子邮件ID在第三方站点上被用作凭证，例如，用于访问数据库。

image

就像电子邮件一样，URL也经常被硬编码。人们可以找到有时正在使用的多汁URL。分析师经常发现恶意URL甚至是C＆C服务器也被访问。

image

硬编码的秘密

通常，开发人员习惯于在string.xml中存储诸如AWS ID和凭证之类的关键密钥，并在Java活动中使用对象作为引用。但是这样做没有任何帮助，因为strings.xml可以轻松解码。

image

活动组件存在

使用MobSF还可滚动显示所有存在的活动的列表。这可以深入了解Android APK的骨架。另外，如果开发人员进行了混淆处理，有时jadx会用一些随机字母替换类的真实名称，MobSF也可以关联其真实名称（并非一直存在或在强烈混淆的情况下不会发生）。

image

同样，分析师也可以遍历服务，广播，提供者和内容接收者以及APK存档中存在的所有文件，以创建应用程序中存在的所有资源的地图。

image

动态分析仪

为了进行动态分析，我们需要先在genymotion中启动android VM。在这里，我已经在7.1版上创建了一个Android VM

image

当您按顶部导航窗格上的动态分析器选项时，如果MobSF和genymotion在同一台基本计算机上运行，则MobSF将自动将其自身附加到正在运行的VM。但是，如果MobSF在另一个虚拟机中，则可能必须将MobSF代理附加到genymotion的VM的远程IP和端口。连接后，我们将看到以下屏幕。

image

在分析器状态栏下，我们可以看到各种可用的默认frida脚本，这些脚本可以检查各种基本漏洞，例如SSL固定绕过和根检测。如果您还没有阅读有关frida的信息，请通过此处阅读。还有其他辅助脚本，使分析人员可以枚举各种类，还可以实时捕获字符串比较（再次有助于恶意软件分析人员的观点）。然后，只需单击“开始检测”，选定的脚本将自动附加到应用程序。因此，如果我选择了SSL Pinning绕过脚本，并且捕获了流量（以后在日志或API监视器中可见），那将意味着SSL Pinning被绕过了。

image

现在，要进一步分析活动的漏洞，可以在顶部看到两个按钮，分别用于已导出和未导出的活动

image

同样，如果不必使用预先配置的Frida脚本，也可以将Frida脚本粘贴到右侧的文本框中。还有一个下拉框可以加载这些脚本。您也可以编辑相同的内容。

image

Logcat流

Logcat也可以在MobSF的本地环境中查看。顶部菜单上有一个按钮，可让用户查看此内容。

image

API监控器

就像logcat监视设备日志一样，也可以监视API。APK实时使用各种API来执行各种功能，例如Base64库。

image

因此，如果函数正在使用此API并解密一个值，我们可以在此处看到该值并对其进行解码。例如，在下面您可以在Base64中看到一次此类函数的返回值。

image

下载报告

完成分析后，可以通过滑动左侧的菜单栏滑块并单击生成报告来下载报告。

image

生成报告时，您可能会注意到一些错误。要解决此问题，您可以按照以下命令安装wkhtmltopdf模块：

1
apt-get install wkhtmltopdf

image

现在，再次单击最近的扫描栏，您将看到静态和动态报告生成选项。

image

该报告如下所示：

image

结论

MobSF是在Android APK上进行自动化分析的绝佳工具。它并没有涵盖对所有漏洞的分析，许多测试只能手动进行，但它是一个非常漂亮的小工具，可以在很大程度上帮助分析师。

from

阿里热修复Sophix的使用指南

阿里热修复Sophix的使用指南

本文转自五问 并作补充

一、阿里云热修复Sophix的介绍

1.1、首先看一下市场上热修复方案的比较：

https://help.aliyun.com/document_detail/434850.html

image

1.2、收费情况：

https://help.aliyun.com/document_detail/434858.html

image

二、接入指南

2.1、准备

  1. 准备好阿里云账号
  2. 进行身份实名认证
  3. 移动研发平台EMAS，进行项目创建,创建后会生成一个aliyun-emas-services.json 文件，里面包含了热修复sdk接入时所需的密钥，很重要

2.2、EMAS平台的添加流程如下：

2.2.1、添加应用

image

image

生成应用的key信息文件，如果建议按需接入所需功能，没必要也不安全，按下图将文件放入到app中

image

下图的红框中的添加sdk也是，添加emas平台中的所有功能，建议按需接入某个功能（如：热修），另外该插件在Android gradle 7之上会报错

image

2.3、热修复接入

https://help.aliyun.com/document_detail/434883.html

注意点如下：

使用gradle plugin版本高于4.2时，可能会自动开启资源优化。开启资源优化后，资源名称被混淆，会导致补丁工具在生成补丁时一直卡在”开始构建补丁…..”，无法正常解析apk包。解决方案：在gradle.properties 中新增android.enableResourceOptimizations=false，重新生成基线包和修复包，然后再生成补丁。

密钥的使用推荐在SophixStubApplication 中初始化，而不是在AndroidManifest文件中配置

使用android studio打包生成apk时，要关闭instant run。

queryAndLoadNewPatch方法用来请求控制台发布的补丁包，会涉及设备信息读取，所以必须在用户同意隐私协议之后调用。另外用户可根据业务情况，酌情考虑是否打开此开关。

但不可放在attachBaseContext中，否则无网络权限，建议放在主进程用户同意隐私协议之后的任意时刻。

接入流程步骤如下：

添加工程依赖

1. Android Studio集成方式

1
2
3
4
5
6
7
8
9
10
11
12
13
gradle远程仓库依赖, 打开项目找到App的build.gradle文件，添加如下配置：

添加Maven仓库地址：

****

```
repositories {
   maven {
       url "http://maven.aliyun.com/nexus/content/repositories/releases"
   }
}
```

2.添加gradle坐标版本依赖：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
android {
    ......
    defaultConfig {
        applicationId "com.xxx.xxx" //包名
        ......
        ndk {
            //选择要添加的对应cpu类型的.so库。
            //热修复支持五种
            abiFilters 'arm64-v8a', 'armeabi', 'armeabi-v7a', 'x86', 'x86_64'
        }
        ......
    }
    ......
}
dependencies {
    ......
        compile 'com.aliyun.ams:alicloud-android-hotfix:3.3.5'
    ......
}

3.添加应用权限

Sophix SDK使用到以下权限，使用Maven依赖或者aar依赖可以不用配置。具体配置在AndroidManifest.xml中。

1
2
3
4
<uses-permission android:name="android.permission.INTERNET" />
<uses-permission android:name="android.permission.ACCESS_NETWORK_STATE" />
<uses-permission android:name="android.permission.ACCESS_WIFI_STATE" />
<uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>

4.配置AndroidManifest文件

也可以不用配置(直接在SophixStubApplication，文件中初始化配置即可（推荐在SophixStubApplication中配置）)，在 移动研发平台EMAS，进行项目创建,创建后会生成一个aliyun-emas-services.json 文件，里面包含了热修复sdk接入时所需的密钥

在AndroidManifest.xml中间的application节点下添加如下配置：

1
2
3
4
5
6
7
8
9
<meta-data
android:name="com.taobao.android.hotfix.IDSECRET"
android:value="App ID" />
<meta-data
android:name="com.taobao.android.hotfix.APPSECRET"
android:value="App Secret" />
<meta-data
android:name="com.taobao.android.hotfix.RSASECRET"
android:value="RSA密钥" />

5. 混淆配置,按需配置

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
```
#基线包使用，生成mapping.txt
-printmapping mapping.txt
#生成的mapping.txt在app/build/outputs/mapping/release路径下，移动到/app路径下
#修复后的项目使用，保证混淆结果一致
#-applymapping mapping.txt
#hotfix
-keep class com.taobao.sophix.**{*;}
-keep class com.ta.utdid2.device.**{*;}
#防止inline
-dontoptimize
```
**
**重要**

开启混淆时，生成修复包要使用旧包的mapping文件以保证混淆结果一致。
初始化

6. 初始化

初始化的调用应该尽可能的早，必须在Application.attachBaseContext()的最开始（在super.attachBaseContext之后，如果有Multidex，也需要在Multidex.install之后）进行SDK初始化操作，初始化之前不能用到其他自定义类，否则极有可能导致崩溃。而查询服务器是否有可用补丁的操作可以在后面的任意地方。不建议在Application.onCreate()中初始化，因为如果带有ContentProvider，就会使得Sophix初始化时机太迟从而引发问题。

Sophix最新版本引入了新的初始化方式。

原来的初始化方式仍然可以使用。只是新方式可以提供更全面的功能修复支持，将会带来以下优点：

  • 初始化与应用原先业务代码完全隔离，使得原先真正的Application可以修复，并且减少了补丁预加载时间等等。
  • 新方式能够更完美地兼容Android 8.0以后版本。
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
public class SophixStubApplication extends SophixApplication {
    private final String TAG = "SophixStubApplication";
    String appVersion = "0.0.0";

    // 此处SophixEntry应指定真正的Application，并且保证RealApplicationStub类名不被混淆。
    @SophixEntry(MyApplication.class)
    static class RealApplicationStub {
    }

    @Override
    protected void attachBaseContext(Context base) {
        super.attachBaseContext(base);
        initSophix();
    }

    private void initSophix() {
        try {
            appVersion = this.getPackageManager()
                    .getPackageInfo(this.getPackageName(), 0)
                    .versionName;
        } catch (Exception e) {
        }
        final SophixManager instance = SophixManager.getInstance();
        List<String> tags = new ArrayList<>();
        ///todo 构建正式包之前需要修改为：
        ///tags.add("production");
        tags.add("test"); //这个值就是，你进行灰度包热修时，要填写的tag
        for (String tag : tags) {
            Log.e(TAG, "sophix tag:" + tag);
        }
        instance.setContext(this)
                .setAppVersion(appVersion)
                .setEnableDebug(false)
                .setEnableFullLog()
                .setTags(tags)
                .setSecretMetaData("你自己的hotfix.idSecret",
                        "你自己的emas.appSecret",
                        "你自己的hotfix.rsaSecret")
                .setPatchLoadStatusStub(new PatchLoadStatusListener() {
                    @Override
                    public void onLoad(final int mode, final int code, final String info, final int handlePatchVersion) {
                        Log.e(TAG, "sophix handlePatchVersion:" + handlePatchVersion + " /code:" + code + " /info:" + info);
                        if (code == PatchStatus.CODE_LOAD_SUCCESS) {
                            ///重启后会装载补丁会调用该方法
                            Log.e(TAG, "sophix load patch " + handlePatchVersion + " success!" + info);
                        } else if (code == PatchStatus.CODE_LOAD_RELAUNCH) {
                            ///补丁加载成功会调用该方法
                            // 如果需要在后台重启，建议此处用SharePreference保存状态。
                            Log.e(TAG, "sophix preload patch success. restart app to make effect. handlePatchVersion:" + handlePatchVersion);
                          
                            Intent intent = new Intent();
                            intent.putExtra("message", "恭喜你，成功接收到发送的广播" + PatchStatus.CODE_LOAD_RELAUNCH);
                            intent.setAction("可使用重启广播重启");
                            sendBroadcast(intent);
                        }
                    }
                }).initialize();
    }

}

7.最后，需要把AndroidManifest里面的application改为这个新增的SophixStubApplication类：

1
2
3
4
<application
        android:name="com.my.pkg.SophixStubApplication"
        ... ...>
        ... ...

这样便完成了新方式的初始化接入改造。

三、热修复打差量包流程 热修控制台地址

https://emas.console.aliyun.com/service/devTool/hotfix/patch

3.1、找到热修界面添加应用

如下图：注意应用版本必须与你的versionName一致，否则会导致后续下发查找不到差量包

image

image

3.2、打差量包

https://help.aliyun.com/document_detail/434864.html

  1. 准备好SophixPatchTool_windows打包工具各版本打包工具如下:
  1. 打一个release的包
  2. 再第2步的release包的基础上修改一些内容，在打一个release包
  3. 利用工具开始打包，如下图

注意： 每次热修差量包的生成的基础包就是你上次发版后的包，并不是说你在进行第三次热修时，用第二次的热修包，作为基准包

问题包：1.0-querelease-2022-12-07.apk，修复包：1.0-release-2022-12-07.apk

image

打开工具：

image

选择两个包填充

image

选择设置填好keystore

image

选择高级，默认如下图，强制冷启动就是补丁包下发后必须重启，建议勾选强制冷启动，为何：看下面解释

image

Sophix何时走即时生效热修复，何时走冷启动修复？https://help.aliyun.com/document_detail/53227.htm?spm=5176.2020520104.0.0.385a3f1bbai0Ta#topic-1993907

配置完成后点击Go开始打差量包

image

成功

image

sophix-patch.jar 就是打出的差量包

image

四、上传补丁-发布

4.1、添加你的应用版本，然后上传补丁

image

4.2、发布补丁

上传后点击发布如下图

image

下载[hotfixdebug]工具验证你的补丁包是否成功,调试流程原文如下链接：

https://help.aliyun.com/document_detail/434866.html

image

调试没问题后点击上图的新建发布

image

发布的话：有全量，灰度两种，灰度的话 ，需要设置指定标签tag，就是你的应用app中Sophix所配置的，如下图：（推荐是全量）

image

4.3、发布成功后在app中调用查询补丁方法

SophixManager.getInstance().queryAndLoadNewPatch()

后续将回调PatchLoadStatusListener如下图

image

依次出现热修状态码如下，状态码含义：

https://help.aliyun.com/document_detail/434886.html?spm=a2c4g.11186623.0.0.6cdf4b0cnRYOiA

image

image

上图加载成功后提示需要重启后热修生效

五、测试用例

1. 修改一个toast文案，然后修复成功。

2. 修改一张图片，增加一张新的图片进行展示，增加点击效果，增加一个新的类生成提示文案（mipmap-hdpi、drawable-xhdpi、drawable、都添加图片）

drawable-xhdpi 中新增热修图片添加可能会存在问题：如下，然后按要求在drawable 中添加后，热修成功。

https://help.aliyun.com/document_detail/338384.html

image

3. 添加assets文件，热修成功。

4. 四大组件不行，因为需要在AndroidManifest.xml文件中配置，热修的时候使用的话会报找不到的，需要注册异常，如下图

image

5. 删除测试4中的组件跳转流程，热修测试成功，

6. 删除测试2中添加的xml中的代码与相关资源，热修测试成功

注意：

1.热修包存在的话，每杀死app，初始化进来都会走

1
2
3
onLoad方法的回调

code == PatchStatus.CODE_LOAD_SUCCESS

image

2.同一个热修包，设置不同的tag，然后点击下发的话都会下发一次

3.清除热修包后，之前发布的版本都无效了，再次查询加载，都查不到了，只能之后在这个版本重新发布

1
SophixManager.getInstance().cleanPatches()

热修复书籍：https://developer.aliyun.com/article/115122