126_移动应用安全与渗透测试实战指南——从Android/iOS应用审计到漏洞利用的全方位技术体系

# 推荐的虚拟机配置
- 处理器：4-8核
- 内存：8-16GB RAM
- 存储：至少200GB SSD
- 网络：桥接模式，便于与移动设备通信

# 在Ubuntu/Kali上安装Android SDK
sudo apt update
sudo apt install android-sdk -y

# 设置环境变量
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/tools:$ANDROID_HOME/platform-tools

# 验证安装
adb version

# 安装Android Studio
sudo snap install android-studio --classic

# 通过命令行创建模拟器
sdkmanager "system-images;android-33;google_apis;x86_64"
emulator -avd TestDevice -wipe-data

# 列出已连接的设备
adb devices

# 获取设备信息
adb shell getprop ro.build.version.release
adb shell getprop ro.build.version.sdk

# 通过App Store安装Xcode或使用命令行
xcode-select --install

# 列出可用的模拟器
xcrun simctl list devices

# 启动指定的模拟器
xcrun simctl boot "iPhone 14 Pro"

# 通过SSH连接到越狱设备
ssh root@<设备IP>  # 默认密码：alpine

# 安装必要的工具
apt-get update
apt-get install wget curl -y

### 2.4 网络代理与监控工具

#### 2.4.1 Burp Suite配置

Burp Suite是移动应用渗透测试的必备工具：

```bash
# 下载并安装Burp Suite Community/Professional
wget https://portswigger.net/burp/releases/download -O burpsuite.jar
java -jar burpsuite.jar

# 安装mitmproxy
sudo apt install mitmproxy -y

# 启动mitmproxy
mitmproxy -p 8080

# 启动mitmdump(非交互式)
mitmdump -p 8080 -w traffic.log

# 安装Apktool(用于反编译APK)
sudo apt install apktool -y

# 安装JADX(用于反编译DEX代码)
sudo apt install jadx -y

# 安装dex2jar(用于转换DEX到JAR)
apt-get install dex2jar -y

# 安装Frida(动态插桩框架)
pip install frida-tools

# 在macOS上安装Hopper Disassembler(商业软件)
# 或使用开源替代工具
brew install radare2

# 安装class-dump(用于提取Objective-C类信息)
brew install class-dump

# 安装frida-ios-dump(用于从越狱设备提取IPA)
pip install frida frida-tools

# 克隆MobSF仓库
git clone https://github.com/MobSF/Mobile-Security-Framework-MobSF.git
cd Mobile-Security-Framework-MobSF

# 安装依赖
pip install -r requirements.txt

# 启动MobSF服务器
python manage.py runserver 127.0.0.1:8000

# 克隆QARK仓库
git clone https://github.com/linkedin/qark.git
cd qark

# 安装依赖
pip install -r requirements.txt

# 运行QARK
python qark.py

# 创建测试项目目录结构
mkdir -p mobile_pentest/{tools,targets,results,scripts}

# 设置环境变量
cat >> ~/.bashrc << EOL
# Mobile Pentest Environment
export ANDROID_HOME=/usr/lib/android-sdk
export PATH=$PATH:$ANDROID_HOME/tools:$ANDROID_HOME/platform-tools
EOL
source ~/.bashrc

#!/usr/bin/env python3
# mobile_test.py
import subprocess
import os
import json
from datetime import datetime

def run_adb_command(command):
    """运行ADB命令并返回结果"""
    result = subprocess.run(command, shell=True, capture_output=True, text=True)
    return result.stdout.strip()

def get_device_info():
    """获取设备信息"""
    device_info = {
        "model": run_adb_command("adb shell getprop ro.product.model"),
        "android_version": run_adb_command("adb shell getprop ro.build.version.release"),
        "sdk_version": run_adb_command("adb shell getprop ro.build.version.sdk"),
        "build_id": run_adb_command("adb shell getprop ro.build.id")
    }
    return device_info

def install_app(apk_path):
    """安装应用"""
    print(f"Installing app from {apk_path}...")
    return run_adb_command(f"adb install -r {apk_path}")

def list_installed_apps():
    """列出已安装的应用"""
    packages = run_adb_command("adb shell pm list packages -f")
    return [pkg for pkg in packages.split('\n') if pkg]

def start_test(apk_path):
    """开始测试流程"""
    # 获取当前时间作为测试ID
    test_id = datetime.now().strftime("%Y%m%d_%H%M%S")
    results_dir = f"results/{test_id}"
    os.makedirs(results_dir, exist_ok=True)
    
    # 获取设备信息
    device_info = get_device_info()
    with open(f"{results_dir}/device_info.json", "w") as f:
        json.dump(device_info, f, indent=2)
    print(f"Device info saved to {results_dir}/device_info.json")
    
    # 安装应用
    install_result = install_app(apk_path)
    with open(f"{results_dir}/install_log.txt", "w") as f:
        f.write(install_result)
    print(f"Install log saved to {results_dir}/install_log.txt")
    
    # 列出已安装的应用
    apps = list_installed_apps()
    with open(f"{results_dir}/installed_apps.txt", "w") as f:
        f.write('\n'.join(apps))
    print(f"Installed apps list saved to {results_dir}/installed_apps.txt")
    
    print(f"Test completed. Results are in {results_dir}")

if __name__ == "__main__":
    import argparse
    parser = argparse.ArgumentParser(description="Mobile App Pentest Automation")
    parser.add_argument("apk", help="Path to the APK file to test")
    args = parser.parse_args()
    
    start_test(args.apk)

Android应用文件结构
├── AndroidManifest.xml：应用清单文件，定义组件和权限
├── classes.dex：Dalvik字节码文件
├── resources.arsc：已编译的资源文件
├── res/：未编译的资源文件目录
├── assets/：应用资源文件目录
└── META-INF/：签名信息目录

// 检查权限
if (ContextCompat.checkSelfPermission(this, Manifest.permission.READ_CONTACTS) != PackageManager.PERMISSION_GRANTED) {
    // 请求权限
    ActivityCompat.requestPermissions(this, new String[]{Manifest.permission.READ_CONTACTS}, MY_PERMISSIONS_REQUEST_READ_CONTACTS);
}

// 处理权限请求结果
@Override
public void onRequestPermissionsResult(int requestCode, String[] permissions, int[] grantResults) {
    if (requestCode == MY_PERMISSIONS_REQUEST_READ_CONTACTS) {
        if (grantResults.length > 0 && grantResults[0] == PackageManager.PERMISSION_GRANTED) {
            // 权限已授予，可以执行操作
        } else {
            // 权限被拒绝
        }
    }
}

<!-- 安全的Activity配置 -->
<activity 
    android:name=".SecureActivity"
    android:exported="false" 
    android:permission="com.example.app.PRIVATE_PERMISSION">
    <intent-filter>
        <action android:name="com.example.app.ACTION_SECURE" />
        <category android:name="android.intent.category.DEFAULT" />
    </intent-filter>
</activity>

// 使用本地广播管理器
LocalBroadcastManager.getInstance(this).registerReceiver(
    myReceiver, new IntentFilter("com.example.app.LOCAL_ACTION"));

// 发送本地广播
LocalBroadcastManager.getInstance(this).sendBroadcast(
    new Intent("com.example.app.LOCAL_ACTION"));

// 防止SQL注入
String selection = "column = ?";
String[] selectionArgs = {userInput};
Cursor cursor = db.query("table", projection, selection, selectionArgs, null, null, sortOrder);

// 在ContentProvider中实现权限检查
@Override
public Cursor query(Uri uri, String[] projection, String selection, String[] selectionArgs, String sortOrder) {
    // 检查权限
    if (getContext().checkCallingPermission(Manifest.permission.READ_DATA) != PackageManager.PERMISSION_GRANTED) {
        throw new SecurityException("Permission denied");
    }
    // 查询数据
    // ...
}

# 解压APK文件
unzip app.apk -d app_unpacked

# 查看AndroidManifest.xml
cd app_unpacked
ls -la

# 使用Apktool反编译APK
apktool d app.apk -o app_decompiled

# 使用JADX查看源代码
jadx-gui app.apk

# 使用MobSF分析APK
# 访问 http://localhost:8000 上传APK进行分析

<!-- 检查导出组件 -->
<activity android:name=".MainActivity" android:exported="true" />

<!-- 检查危险权限 -->
<uses-permission android:name="android.permission.READ_CONTACTS" />
<uses-permission android:name="android.permission.ACCESS_FINE_LOCATION" />

<!-- 检查自定义权限 -->
<permission android:name="com.example.app.PRIVATE_PERMISSION" 
    android:protectionLevel="signature" />

<!-- res/xml/network_security_config.xml -->
<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <domain-config>
        <domain includeSubdomains="true">example.com</domain>
        <pin-set expiration="2025-12-31">
            <pin digest="SHA-256">...</pin>
        </pin-set>
        <trustkit-config enforcePinning="true" />
    </domain-config>
    <!-- 阻止明文流量 -->
    <base-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <certificates src="system" />
        </trust-anchors>
    </base-config>
</network-security-config>

<!-- 在AndroidManifest.xml中引用 -->
<application android:networkSecurityConfig="@xml/network_security_config">
</application>

# 获取应用包名列表
adb shell pm list packages

# 查看特定应用的详细信息
adb shell dumpsys package com.example.app

# 查看应用安装路径
adb shell pm path com.example.app

# 导出已安装的APK
adb pull /data/app/com.example.app-1/base.apk app.apk

# 查看应用请求的权限
adb shell dumpsys package com.example.app | grep permissions

# 检查运行时权限状态
adb shell dumpsys package com.example.app | grep runtime-permissions

# 使用drozer枚举应用组件
drozer console connect
dz> run app.package.info -a com.example.app
dz> run app.activity.info -a com.example.app
dz> run app.service.info -a com.example.app
dz> run app.broadcast.info -a com.example.app
dz> run app.provider.info -a com.example.app

iOS应用文件结构
├── Info.plist：应用配置文件，包含权限和配置信息
├── 可执行文件：编译后的二进制代码
├── 资源文件(.storyboard, .xib, 图片等)
├── 框架和库文件
├── 签名和权限文件
└── 其他资源文件

应用沙箱目录
├── /Documents/：用户文档和应用数据，可备份
├── /Library/：应用支持文件
│   ├── /Caches/：缓存数据，不备份
│   └── /Preferences/：应用偏好设置
├── /tmp/：临时文件，系统可能清除
└── /应用Bundle目录：只读的应用程序包

// 使用应用组共享数据
let containerURL = FileManager.default.containerURL(forSecurityApplicationGroupIdentifier: "group.com.example.app")
let sharedFileURL = containerURL?.appendingPathComponent("shared.txt")

// 写入共享数据
try "Shared data".write(to: sharedFileURL!, atomically: true, encoding: .utf8)

// 请求相机权限
AVCaptureDevice.requestAccess(for: .video) { granted in
    DispatchQueue.main.async {
        if granted {
            // 相机权限已授予
        } else {
            // 相机权限被拒绝
        }
    }
}

// 请求位置权限
locationManager.requestWhenInUseAuthorization()
// 或
locationManager.requestAlwaysAuthorization()

<!-- Info.plist中的权限描述 -->
<key>NSCameraUsageDescription</key>
<string>此应用需要访问您的相机来拍摄照片</string>

<key>NSLocationWhenInUseUsageDescription</key>
<string>此应用需要在您使用时访问您的位置以提供基于位置的服务</string>

# 解压IPA文件
unzip app.ipa -d app_unpacked

# 查看应用包内容
cd app_unpacked/Payload
sudo chmod -R 755 *.app
ls -la *.app/

# 使用otool查看二进制信息
otool -L AppBinary  # 查看链接的库
otool -o AppBinary  # 查看Objective-C类和方法
otool -tV AppBinary  # 查看汇编代码

# 使用class-dump提取类信息
class-dump -H AppBinary -o headers/

<!-- 应用传输安全设置 -->
<key>NSAppTransportSecurity</key>
<dict>
    <key>NSAllowsArbitraryLoads</key>
    <true/>
    <!-- 或更安全的配置 -->
    <key>NSExceptionDomains</key>
    <dict>
        <key>example.com</key>
        <dict>
            <key>NSIncludesSubdomains</key>
            <true/>
            <key>NSTemporaryExceptionAllowsInsecureHTTPLoads</key>
            <false/>
        </dict>
    </dict>
</dict>

<!-- 后台模式配置 -->
<key>UIBackgroundModes</key>
<array>
    <string>fetch</string>
    <string>remote-notification</string>
</array>

// 代码中配置ATS例外（仅适用于特定情况）
let configuration = URLSessionConfiguration.default
configuration.allowsCellularAccess = true
configuration.httpAdditionalHeaders = ["User-Agent": "MyApp"]

let session = URLSession(configuration: configuration)

# 在越狱设备上列出已安装的应用
ssh root@<设备IP> "find /var/containers/Bundle/Application -name '*.app'"

# 提取应用的Info.plist
ssh root@<设备IP> "plutil -p /var/containers/Bundle/Application/<UUID>/AppName.app/Info.plist"

# 使用frida-ios-dump提取IPA
cd frida-ios-dump
./dump.py com.example.app

# 查看应用的权限设置
ssh root@<设备IP> "ls -la /var/mobile/Containers/Data/Application/<UUID>/Library/Preferences/"

# 分析偏好设置文件
ssh root@<设备IP> "plutil -p /var/mobile/Containers/Data/Application/<UUID>/Library/Preferences/com.example.app.plist"

# 查看应用沙箱目录结构
ssh root@<设备IP> "find /var/mobile/Containers/Data/Application/<UUID> -type d | sort"

# 查找敏感文件
ssh root@<设备IP> "find /var/mobile/Containers/Data/Application/<UUID> -name '*.sqlite' -o -name '*.db'"

# 列出应用链接的框架
otool -L AppBinary

# 分析第三方库
ls -la *.app/Frameworks/

func isJailbroken() -> Bool {
    // 检查常见的越狱文件路径
    let jailbreakFiles = [
        "/Applications/Cydia.app",
        "/Library/MobileSubstrate/MobileSubstrate.dylib",
        "/bin/bash",
        "/usr/sbin/sshd",
        "/etc/apt"
    ]
    
    for path in jailbreakFiles {
        if FileManager.default.fileExists(atPath: path) {
            return true
        }
    }
    
    // 检查是否可以写入受保护的位置
    let testPath = "/private/jailbreak.txt"
    do {
        try "test".write(toFile: testPath, atomically: true, encoding: .utf8)
        try FileManager.default.removeItem(atPath: testPath)
        return true
    } catch {
        // 写入失败，可能未越狱
    }
    
    return false
}