Seminar MobSF Android Static Analysis

Seminarprofil

Das Seminar vermittelt eine systematische statische Sicherheitsanalyse von APK-, AAB- und Android-Quellcode mit MobSF. Die Teilnehmenden lernen, Manifest, Berechtigungen, Komponenten, Zertifikate, Ressourcen, Quellcode, native Bibliotheken, Netzwerkkonfiguration und erkannte Geheimnisse zusammenhängend zu bewerten. Automatische Befunde werden konsequent anhand des App-Kontexts verifiziert.

Inhaltsübersicht

• Artefakte und Scanvorbereitung
• Manifest und Angriffsfläche
• Code- und Geheimnisanalyse
• Zertifikate, Binärdateien und Ressourcen
• Befundverifikation und Bericht

Lernziele

• Android-Artefakte korrekt vorbereiten und einen reproduzierbaren statischen Scan durchführen
• Manifest-, Code-, Zertifikats-, Ressourcen- und Binärbefunde fachlich einordnen
• False Positives erkennen und Befunde anhand des dekompilierten Kontexts verifizieren
• eine priorisierte und entwicklungsnahe Sicherheitsbewertung erstellen

Seminarinhalte

Modul 1: Artefakte und Scanvorbereitung

1. Schritt 1: APK, AAB, Quellcodearchiv und unterstützende Build-Informationen unterscheiden.
2. Schritt 2: Prüfsumme, Herkunft, Version und Testfreigabe des Artefakts dokumentieren.
3. Schritt 3: Scanprofil, Zeitlimits und optionale Analyseschritte passend zum Artefakt wählen.
4. Schritt 4: Analyseprotokoll auf Extraktions-, Dekompilierungs- und Werkzeugfehler prüfen.

Modul 2: Manifest und Angriffsfläche

1. Schritt 1: Ziel-SDK, minimale Plattform, Berechtigungen und Backup-Einstellungen auswerten.
2. Schritt 2: Exportierte Aktivitäten, Services, Receiver und Provider identifizieren.
3. Schritt 3: Intent Filter, Deep Links, App Links und URI-Schemata auf unerwünschte Erreichbarkeit prüfen.
4. Schritt 4: Network Security Configuration, Cleartext-Regeln und WebView-relevante Einstellungen bewerten.

Modul 3: Code- und Geheimnisanalyse

1. Schritt 1: SAST-Befunde nach Quelle, Senke, Datenfluss und tatsächlichem Aufrufkontext untersuchen.
2. Schritt 2: Hart codierte Schlüssel, Tokens, Endpunkte und Debug-Reste auf Verwertbarkeit prüfen.
3. Schritt 3: Kryptografie-, Speicher-, Logging- und WebView-Muster mit dem Anwendungskontext abgleichen.
4. Schritt 4: Obfuskation und generierten Drittcode von eigenem sicherheitsrelevantem Code trennen.

Modul 4: Zertifikate, Binärdateien und Ressourcen

1. Schritt 1: Signaturschema, Zertifikatsmerkmale und Debug-Signaturen kontrollieren.
2. Schritt 2: Native Bibliotheken auf Schutzmerkmale, Architekturen und auffällige Symbole untersuchen.
3. Schritt 3: Ressourcen, Konfigurationsdateien, Datenbanken und eingebettete Archive sichten.
4. Schritt 4: Tracker, verdächtige Dateien und bekannte Verhaltensindikatoren plausibilisieren.

Modul 5: Befundverifikation und Bericht

1. Schritt 1: Findings nach Schwere, Exposition, Ausnutzbarkeit und Geschäftsrelevanz priorisieren.
2. Schritt 2: False Positives mit Codeausschnitt, Manifestkontext oder Konfiguration begründen.
3. Schritt 3: Reproduktionshinweise und konkrete Abhilfemaßnahmen formulieren.
4. Schritt 4: Scanqualität, nicht geprüfte Bereiche und notwendige dynamische Folgetests festhalten.

Praxisübungen

• Vollständiger statischer Scan einer Android-Trainingsanwendung
• Manuelle Verifikation von Manifest-, Code-, Zertifikats- und Bibliotheksbefunden
• Erstellung eines priorisierten Entwicklerberichts mit Nachweisen

Zielgruppe

Android-Entwickler, Security Engineers, AppSec-Teams, Code Reviewer und Penetration Tester.

Vorkenntnisse

Grundkenntnisse in Android-App-Struktur, Java oder Kotlin und allgemeinen Anwendungssicherheitsprinzipien. MobSF-Vorkenntnisse sind nicht zwingend.