Android APK Checklist

HackTricks का समर्थन करें

• सदस्यता योजनाओं की जांच करें!

• 💬 Discord समूह या telegram समूह में शामिल हों या Twitter 🐦 पर हमें फॉलो करें @hacktricks_live.**

• हैकिंग ट्रिक्स साझा करें और HackTricks और HackTricks Cloud गिटहब रिपोजिटरी में PR सबमिट करें।

Android के मूलभूत सिद्धांत सीखें

• बुनियादी बातें

• Dalvik & Smali

• प्रवेश बिंदु

• गतिविधियाँ

• URL योजनाएँ

• सामग्री प्रदाता

• सेवाएँ

• ब्रॉडकास्ट रिसीवर्स

• इंटेंट्स

• इंटेंट फ़िल्टर

• अन्य घटक

• ADB का उपयोग कैसे करें

• Smali को कैसे संशोधित करें

स्थैतिक विश्लेषण

• अवरोधन के उपयोग की जांच करें, यह जांचें कि मोबाइल रूट किया गया है या नहीं, यदि एक एमुलेटर का उपयोग किया जा रहा है और एंटी-टैम्परिंग जांचें। अधिक जानकारी के लिए इसे पढ़ें।

• संवेदनशील अनुप्रयोगों (जैसे बैंक ऐप) को जांचना चाहिए कि मोबाइल रूट किया गया है और इसके अनुसार कार्य करना चाहिए।

• दिलचस्प स्ट्रिंग्स (पासवर्ड, URL, API, एन्क्रिप्शन, बैकडोर, टोकन, ब्लूटूथ UUIDs...) की खोज करें।

• फायरबेस एपीआई पर विशेष ध्यान दें।

• मैनिफेस्ट पढ़ें:

• जांचें कि क्या अनुप्रयोग डिबग मोड में है और इसे "शोषण" करने की कोशिश करें

• जांचें कि क्या APK बैकअप की अनुमति देता है

• निर्यातित गतिविधियाँ

• सामग्री प्रदाता

• उजागर सेवाएँ

• ब्रॉडकास्ट रिसीवर्स

• URL योजनाएँ

• क्या अनुप्रयोग असुरक्षित रूप से आंतरिक या बाहरी डेटा सहेज रहा है?

• क्या कोई पासवर्ड हार्ड कोडेड या डिस्क में सहेजा गया है? क्या ऐप असुरक्षित क्रिप्टो एल्गोरिदम का उपयोग कर रहा है?

• क्या सभी पुस्तकालय PIE ध्वज का उपयोग करके संकलित हैं?

• यह न भूलें कि इस चरण के दौरान आपकी मदद करने के लिए कई स्थैतिक Android विश्लेषक हैं।

गतिशील विश्लेषण

• वातावरण तैयार करें (ऑनलाइन, स्थानीय VM या भौतिक)

• क्या कोई अनपेक्षित डेटा लीक (लॉगिंग, कॉपी/पेस्ट, क्रैश लॉग) है?

• SQLite डेटाबेस में संवेदनशील जानकारी सहेजी जा रही है?

• शोषण योग्य उजागर गतिविधियाँ?

• शोषण योग्य सामग्री प्रदाता?

• शोषण योग्य उजागर सेवाएँ?

• शोषण योग्य ब्रॉडकास्ट रिसीवर्स?

• क्या अनुप्रयोग स्पष्ट पाठ में जानकारी संचारित कर रहा है/कमजोर एल्गोरिदम का उपयोग कर रहा है? क्या MitM संभव है?

• HTTP/HTTPS ट्रैफ़िक का निरीक्षण करें

• यह वास्तव में महत्वपूर्ण है, क्योंकि यदि आप HTTP ट्रैफ़िक को कैप्चर कर सकते हैं तो आप सामान्य वेब कमजोरियों की खोज कर सकते हैं (Hacktricks के पास वेब कमजोरियों के बारे में बहुत सारी जानकारी है)।

• संभावित Android क्लाइंट साइड इंजेक्शन की जांच करें (संभवतः कुछ स्थैतिक कोड विश्लेषण यहाँ मदद करेगा)

• Frida: बस Frida, इसका उपयोग करें ताकि अनुप्रयोग से दिलचस्प गतिशील डेटा प्राप्त किया जा सके (शायद कुछ पासवर्ड...)

कुछ अवरोधन/डीअवरोधन जानकारी

• यहाँ पढ़ें

HackTricks का समर्थन करें

• सदस्यता योजनाओं की जांच करें!

• 💬 Discord समूह या telegram समूह में शामिल हों या Twitter 🐦 पर हमें फॉलो करें @hacktricks_live.**

• हैकिंग ट्रिक्स साझा करें और HackTricks और HackTricks Cloud गिटहब रिपोजिटरी में PR सबमिट करें।