[Android] 인시큐어 뱅크 취약점 진단 | 환경설정 하기.

인시큐어 뱅크 강의 내용을 포함하고 있습니다.

 

---

인시큐어 뱅크란

안드로이드 어플리케이션을 테스트 및 시험함으로써 보안 전문가와 개발자가 안드로이드 보안 위험을 배우도록 하기 위해

개발된 앱이다. 오픈소스로 git hub에서 다운 받을 수 있다.(아래 링크 포함)

github.com/dineshshetty/Android-InsecureBankv2

dineshshetty/Android-InsecureBankv2

"인시큐어뱅크는 모바일 취약점 을 분석 할 수 있는 안드로이드 앱" 이다.

금융앱을 기반으로 만들어졌고 다수의 취약점이 있어 이를 식별 , 분석 할 수 있다.

안드로이드 앱 취약점 분석 도구로 손꼽히는 앱이다.

 

- 안드로이드 앱과 서버의 통신 방법 이해

- 앱 자체에 존재하는 취약점 이해

- 앱과 서버가 통신 중 발견되는 취약점 이해

- 최종적으로 안드로이드 앱을 가이드 라인에 따라 진단

 

 

인시큐어 뱅크 구성

서버는 python27 : Flask로 구성 <--통신--> 안드로이드 인시큐어 뱅크 앱 

조정원 "인시큐어 뱅크로 알아보는 앱 취약점 진단"

 

취약점 종류

인시큐어뱅크는 다음과 같은 취약점을 가지고 있다.

 

01. 취약한 브로드캐스트 리시버 (Flawed Broadcast Receivers)

02. 취약한 인증 매커니즘 (Weak Authorization mechanism)

03. 로컬 암호화 취약점 (Local Encryption issues)

04. 취약한 액티비티 컴포넌트 (Vulnerable Activity Components)

05. 루트 노출 및 우회 취약점 (Root Detection and Bypass)

06. 취약한 콘텐츠 프로바이더 (Insecure Content Provider access)

07. 취약한 웹 뷰 구현 (Insecure Webview implementation)

08. 취약한 암호화 구현 (Weak Cryptography implementation)

09. 앱 패칭 취약점 (Application Patching)

10. 중요 정보 메모리 노출 취약점 (Sensitive Information in Memory)

11. 취약한 로깅 메카니즘 (Insecure Logging mechanism)

12. 페이스트보드 취약점 (Android Pasteboard vulnerability)

13. 앱 디버깅 취약점 (Application Debuggable)

14. 안드로이드 키보드 캐시 취약점 (Android keyboard cache issues)

15. 안드로이드 백업 취약점 (Android Backup vulnerability)

16. 런타임 조작 (Runtime Manipulation)

17. 취약한 SD 카드 스토리지 (Insecure SD Card storage)

18. 취약한 HTTP 전송 (Insecure HTTP connections)

19. 파라미터 조작 (Parameter Manipulation)

20. 하드코드된 중요 정보 (Hardcoded secrets)

21. 사용자 계정 목록화 (Username Enumeration issue)

22. 개발 백도어 취약점 (Developer Backdoors)

23. 취약한 비밀번호 변경 로직 (Weak change password implementation)

출처: https://aroundck.tistory.com/6869 [돼지왕 놀이터]

 

 

 

실습하기 

아나콘다를 먼저 다운로드 해준다.

lucete1230-cyberpolice.tistory.com/433

[암호 프로토콜] 파이썬 가상환경 | 아나콘다 파이썬 | python | anaconda

아나콘다 프롬포트에서 깔렸는지 확인하기
conda --version
python --version

이어서 명령어 입력
conda create -n py2 python=2.7 -y # 가상환경 만들어 주기.
conda activate py2

다음 인시큐어 뱅크 다운로드 위에서 받은 경로 입력하기 (저같은 경우는 아래 경로였습니다.)
cd C:\Android-InsecureBankv2-master\AndroL

ptp install 로 아래 있는 것들 다 다운로드 하면 됨.
flask
sqlalchemy
simplejson
web.py
cherrypy

이후 실행시켜서 포트 열어주기.
pip install web.py==0.37
python app.py

윈도우가상환경에서 네트워크를 wifi 로 잡아준다. 

 

인시큐어 뱅크에 아이디 비밀번호는 아래와 같다.

 

- 아이디 : dinesh,  패스워드 : Dinesh@123$ 

-  아이디 : jack, 패스워드 : Jack@123$

로그인 정보가 나오면서, 로그인이 성공한다.

 

 

++ 참고로 ip추가해 줘야함.

 

 

 

로그인 성공 시 아래와 같은 화면이 출력된다.

 

프로바이더

자신이 가진 데이터를 다른 앱에 전달해주기 위해 존재함. 허가되지 않은 개인정보를 얻어내려고 몰래 조회 후 데이터를 훔쳐봄.

choidev-1.tistory.com/55

(안드로이드) 콘텐츠 프로바이더 (Content Provider)

medium.com/@lunay0ung/android-content-provider-9201ca78a578 두 블로그에 자세히 정리되어 있으니 참고해주시길 바랍니다.

Android: Content Provider

 

취약점 분석 시 필요한 도구는 따로 설명하도록 하겠다.