mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
62 lines
7.3 KiB
Markdown
62 lines
7.3 KiB
Markdown
# Android APK Checklist
|
|
|
|
{{#include ../banners/hacktricks-training.md}}
|
|
|
|
|
|
### [Android के मूलभूत ज्ञान को सीखें](android-app-pentesting/#2-android-application-fundamentals)
|
|
|
|
- [ ] [बुनियादी बातें](android-app-pentesting/#fundamentals-review)
|
|
- [ ] [Dalvik & Smali](android-app-pentesting/#dalvik--smali)
|
|
- [ ] [प्रवेश बिंदु](android-app-pentesting/#application-entry-points)
|
|
- [ ] [गतिविधियाँ](android-app-pentesting/#launcher-activity)
|
|
- [ ] [URL योजनाएँ](android-app-pentesting/#url-schemes)
|
|
- [ ] [सामग्री प्रदाता](android-app-pentesting/#services)
|
|
- [ ] [सेवाएँ](android-app-pentesting/#services-1)
|
|
- [ ] [ब्रॉडकास्ट रिसीवर्स](android-app-pentesting/#broadcast-receivers)
|
|
- [ ] [इंटेंट्स](android-app-pentesting/#intents)
|
|
- [ ] [इंटेंट फ़िल्टर](android-app-pentesting/#intent-filter)
|
|
- [ ] [अन्य घटक](android-app-pentesting/#other-app-components)
|
|
- [ ] [ADB का उपयोग कैसे करें](android-app-pentesting/#adb-android-debug-bridge)
|
|
- [ ] [Smali को कैसे संशोधित करें](android-app-pentesting/#smali)
|
|
|
|
### [स्थैतिक विश्लेषण](android-app-pentesting/#static-analysis)
|
|
|
|
- [ ] [अवरोधन](android-checklist.md#some-obfuscation-deobfuscation-information) के उपयोग की जांच करें, यह देखें कि मोबाइल रूट किया गया है या नहीं, यदि एक एमुलेटर का उपयोग किया जा रहा है और एंटी-टैम्परिंग जांचें। [अधिक जानकारी के लिए पढ़ें](android-app-pentesting/#other-checks)।
|
|
- [ ] संवेदनशील अनुप्रयोगों (जैसे बैंक ऐप) को जांचना चाहिए कि मोबाइल रूट किया गया है और इसके अनुसार कार्य करना चाहिए।
|
|
- [ ] [दिलचस्प स्ट्रिंग्स](android-app-pentesting/#looking-for-interesting-info) (पासवर्ड, URL, API, एन्क्रिप्शन, बैकडोर, टोकन, ब्लूटूथ UUIDs...) के लिए खोजें।
|
|
- [ ] [फायरबेस](android-app-pentesting/#firebase) APIs पर विशेष ध्यान दें।
|
|
- [ ] [मैनिफेस्ट पढ़ें:](android-app-pentesting/#basic-understanding-of-the-application-manifest-xml)
|
|
- [ ] जांचें कि क्या अनुप्रयोग डिबग मोड में है और इसे "शोषण" करने की कोशिश करें
|
|
- [ ] जांचें कि क्या APK बैकअप की अनुमति देता है
|
|
- [ ] निर्यातित गतिविधियाँ
|
|
- [ ] सामग्री प्रदाता
|
|
- [ ] उजागर सेवाएँ
|
|
- [ ] ब्रॉडकास्ट रिसीवर्स
|
|
- [ ] URL योजनाएँ
|
|
- [ ] क्या अनुप्रयोग [असुरक्षित रूप से आंतरिक या बाहरी डेटा सहेज रहा है](android-app-pentesting/#insecure-data-storage)?
|
|
- [ ] क्या कोई [पासवर्ड हार्ड कोडेड या डिस्क में सहेजा गया है](android-app-pentesting/#poorkeymanagementprocesses)? क्या ऐप [असुरक्षित क्रिप्टो एल्गोरिदम का उपयोग कर रहा है](android-app-pentesting/#useofinsecureandordeprecatedalgorithms)?
|
|
- [ ] क्या सभी पुस्तकालय PIE ध्वज का उपयोग करके संकलित हैं?
|
|
- [ ] यह न भूलें कि इस चरण के दौरान आपकी मदद करने के लिए कई [स्थैतिक Android विश्लेषक](android-app-pentesting/#automatic-analysis) हैं।
|
|
|
|
### [गतिशील विश्लेषण](android-app-pentesting/#dynamic-analysis)
|
|
|
|
- [ ] वातावरण तैयार करें ([ऑनलाइन](android-app-pentesting/#online-dynamic-analysis), [स्थानीय VM या भौतिक](android-app-pentesting/#local-dynamic-analysis))
|
|
- [ ] क्या कोई [अनपेक्षित डेटा लीक](android-app-pentesting/#unintended-data-leakage) (लॉगिंग, कॉपी/पेस्ट, क्रैश लॉग) है?
|
|
- [ ] [गोपनीय जानकारी SQLite dbs में सहेजी जा रही है](android-app-pentesting/#sqlite-dbs)?
|
|
- [ ] [शोषण योग्य उजागर गतिविधियाँ](android-app-pentesting/#exploiting-exported-activities-authorisation-bypass)?
|
|
- [ ] [शोषण योग्य सामग्री प्रदाता](android-app-pentesting/#exploiting-content-providers-accessing-and-manipulating-sensitive-information)?
|
|
- [ ] [शोषण योग्य उजागर सेवाएँ](android-app-pentesting/#exploiting-services)?
|
|
- [ ] [शोषण योग्य ब्रॉडकास्ट रिसीवर्स](android-app-pentesting/#exploiting-broadcast-receivers)?
|
|
- [ ] क्या अनुप्रयोग [स्पष्ट पाठ में जानकारी संचारित कर रहा है/कमजोर एल्गोरिदम का उपयोग कर रहा है](android-app-pentesting/#insufficient-transport-layer-protection)? क्या MitM संभव है?
|
|
- [ ] [HTTP/HTTPS ट्रैफ़िक का निरीक्षण करें](android-app-pentesting/#inspecting-http-traffic)
|
|
- [ ] यह वास्तव में महत्वपूर्ण है, क्योंकि यदि आप HTTP ट्रैफ़िक को कैप्चर कर सकते हैं तो आप सामान्य वेब कमजोरियों की खोज कर सकते हैं (Hacktricks में वेब कमजोरियों के बारे में बहुत सारी जानकारी है)।
|
|
- [ ] संभावित [Android क्लाइंट साइड इंजेक्शन](android-app-pentesting/#android-client-side-injections-and-others) के लिए जांचें (संभवतः कुछ स्थैतिक कोड विश्लेषण यहाँ मदद करेगा)
|
|
- [ ] [Frida](android-app-pentesting/#frida): बस Frida, इसका उपयोग करें ताकि आप अनुप्रयोग से दिलचस्प गतिशील डेटा प्राप्त कर सकें (शायद कुछ पासवर्ड...)
|
|
|
|
### कुछ अवरोधन/डीअवरोधन जानकारी
|
|
|
|
- [ ] [यहाँ पढ़ें](android-app-pentesting/#obfuscating-deobfuscating-code)
|
|
|
|
|
|
{{#include ../banners/hacktricks-training.md}}
|