Самые важные инструменты тестирования на проникновение Android для пентестеров и специалистов по безопасности
Life-Hack [Жизнь-Взлом]/ХакингТестирование безопасности Android чаще используется в индустрии безопасности для тестирования уязвимостей в приложениях Android. Здесь вы можете найти полный Android инструменты тестирования на проникновение и список ресурсов, который охватывает выполнение операции тестирования на проникновение в Android мобильных телефонов.
Онлайн-Анализаторы
- AndroTotal
- Tracedroid
- Visual Threat
- Mobile Malware Sandbox
- Appknox – Несвободный
- IBM Security AppScan Mobile Analyzer – Несвободный
- NVISO ApkScan
- AVC UnDroid
- habo
- Virustotal
- Fraunhofer App-ray
- AppCritique – Загрузить APK на Android и получите всеобъемлющей оценки безопасности.
- NowSecure Lab Automated – Enterprise tool для тестирования безопасности мобильных приложений на Android и iOS. Лаборатория автоматизированных функций динамического и статического анализа на реальных устройствах в облаке, чтобы возвращать результаты в течение нескольких минут. Несвободный
Инструменты статического анализа
- Androwarn – обнаружение и предупреждение пользователя о потенциально вредоносных действий, разработанный приложения для Android.
- ApkAnalyser
- APKInspector
- Droid Intent Data Flow Analysis for Information Leakage
- DroidLegacy
- Several tools from PSU
- Smali CFG generator
- FlowDroid
- Android Decompiler
- PSCout – инструмент, который извлекает спецификацию разрешений из исходного кода ОС Android с помощью статического анализа
- Amandroid
- SmaliSCA – Небольшой Статический Анализ Кода
- CFGScanDroid – Сканирует и сравнивает CFG с CFG вредоносных приложений
- Madrolyzer – экстракты данных как C&C, номер телефона и т. д.
- SPARTA – проверяет (доказывает), что приложение удовлетворяет политике безопасности информационных потоков; Checker Framework
- ConDroid – Выполняет комбинацию символического + конкретного выполнения приложения
- DroidRA
- RiskInDroid – Инструмент для расчета риска развития приложений для Android на основе разрешений с онлайн-демо.
- SUPER – Безопасный, унифицированный, мощный и расширяемый анализатор Android
- ClassyShark – Автономный двоичный инструмент контроля, который может просматривать любой исполняемый файл Android и показывать важную информацию.
Сканеры уязвимостей приложений безопасности Android
- QARK – QARK от LinkedIn предназначен для разработчиков приложений для сканирования приложений на предмет проблем безопасности
- AndroBugs
- Nogotofail
- Devknox – Автозамена Android проблемы безопасности, как если бы это была проверка орфографии от вашей идеи
- JAADAS – Совместный внутрипроцедурный и межпроцедурный инструмент анализа программ для поиска уязвимостей в Android-приложениях, построенный на Soot и Scala
Инструменты динамического анализа
- Android DBI framework
- Androl4b– Виртуальная машина для оценки приложений Android, обратного проектирования и анализа вредоносных программ
- Android Malware Analysis Toolkit – (Дистрибутив Linux) ранее он был online analyzer
- Mobile-Security-Framework MobSF – Mobile Security Framework-это интеллектуальное мобильное приложение с открытым исходным кодом (Android/iOS) с открытым исходным кодом, способное выполнять статический, динамический анализ и тестирование веб-API.
- AppUse –пользовательская сборка для пентестинга
- Cobradroid – пользовательский образ для анализа вредоносных программ
- Droidbox
- Drozer
- Xposed – эквивалент выполнения инъекции кода на основе заглушки, но без каких-либо изменений в двоичном файле
- Inspeckage – Android Package Inspector-динамический анализ с помощью API-крючков, запуск несообщаемых действий и многое другое.
- Android Hooker – Динамическое инструментирование кода Java
- ProbeDroid – Динамическое инструментирование кода Java
- Android Tamer – Виртуальная / Живая платформа для профессионалов безопасности Android
- DECAF – Платформа динамического анализа исполняемого кода на основе QEMU (DroidScope теперь является расширением без кофеина)
- CuckooDroid – Android расширение для песочницы
- Mem – Анализ памяти безопасности Android (root required)
- Crowdroid – unable to find the actual tool
- AuditdAndroid – android-порт аудирован, больше не находится в активной разработке
- AndroidSecurity Evaluation Framework – not under active development anymore
- Android Reverse Engineering – ARE (android reverse engineering) not under active development anymore
- Aurasium – Практическое применение политики безопасности для Android-приложений с помощью перезаписи байт-кода и монитора ссылок на месте.
- Android Linux Kernel modules
- Appie – Appie-это программный пакет, который был предварительно настроен для работы в качестве среды Android Pentesting.Он полностью портативен и может быть перенесен на USB-накопитель или смартфон.Это универсальный ответ для всех инструментов, необходимых для оценки безопасности приложений Android, и потрясающая альтернатива существующим виртуальным машинам.
- StaDynA – система, поддерживающая анализ приложений безопасности при наличии функций динамического обновления кода (динамическая загрузка и отражение классов). Этот инструмент сочетает в себе статический и динамический анализ приложений Android для того, чтобы выявить скрытые/обновленное поведение и расширить результаты статического анализа с этой информацией.
- DroidAnalytics – incomplete
- Vezir Project – Виртуальная машина для пентестинга мобильных приложений и анализа мобильных вредоносных программ
- MARA – Mobile Application Reverse engineering and Analysis Framework
- Taintdroid – requires AOSP compilation
Инженерный анализ
- Smali/Baksmali – apk decompilation
- emacs syntax coloring for smali files
- vim syntax coloring for smali files
- AndBug
- Androguard – powerful, integrates well with other tools
- Apktool – really useful for compilation/decompilation (uses smali)
- Android Framework for Exploitation
- Bypass signature and permission checks for IPCs
- Android OpenDebug – make any application on device debuggable (using cydia substrate).
- Dare – .dex to .class converter
- Dex2Jar – dex to jar converter
- Enjarify – dex to jar converter from Google
- Dedexer
- Fino
- Frida – inject javascript to explore applications and a GUI tool for it
- Indroid – thread injection kit
- IntentSniffer
- Introspy
- Jad – Java decompiler
- JD-GUI – Java decompiler
- CFR – Java decompiler
- Krakatau – Java decompiler
- Procyon – Java decompiler
- FernFlower – Java decompiler
- Redexer – apk manipulation
- Smali viewer
- Simplify Android deobfuscator
- Bytecode viewer
- Radare2
Fuzz Testing
- IntentFuzzer
- Radamsa Fuzzer
- Honggfuzz
- An Android port of the melkor ELF fuzzer
- Media Fuzzing Framework for Android
- AndroFuzz
App Repackaging Detectors
- FSquaDRA – инструмент безопасности Android для обнаружения переупакованных приложений Android на основе сравнения хэшей ресурсов приложений.
Разное
- smalihook
- APK-Downloader
- AXMLPrinter2 – для преобразования двоичных файлов XML в удобочитаемые файлы XML
- adb autocomplete
- Dalvik opcodes
- Opcodes table for quick reference
- ExploitMe Android Labs – для практики
- GoatDroid – для практики
- mitmproxy
- dockerfile/androguard
- Android Vulnerability Test Suite – android-vts сканирует устройство на наличие множества уязвимостей
- AppMon– AppMon-это автоматизированная платформа для мониторинга и фальсификации системных вызовов API собственных приложений mac OS, iOS и android.