JADX-GUI ilə Mobil Tətbiqin Java Kodlarına Decompile Edilməsi (AndroGoat.apk ilə nümunə)

Bu paylaşım seriyası Mobile Application Pentesting üzərindən gedəcəkdir və paylaşımın məqsədi Android Pentest üçün mühitin qurulmasıdır.
Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official

Əgər birbaşa bu paylaşıma gəlmisinizsə, sizə əvvəlki paylaşımdakı məlumatlar ilə tanış olmağınızı məsləhət görürəm!

Jadx-GUİ nədir ?

Jadx-GUI, Jadx proqramının qrafik istifadəçi interfeysli (GUI) versiyasıdır və APK və Dex fayllarını Java mənbə koduna dekompilyasiya etmək üçün istifadə olunur. O, proqram kodunu təhlil etmək, mənbə kodunu görmək, sintaksisi vurğulamaq, istifadəyə keçmək və mətn axtarışı aparmaq kimi funksiyalar təqdim edir. Bu alət əsasən Android proqramlarının tərs mühəndisliyi və təhlili üçün istifadə olunur. 

ApkTool`dan fərqli olaraq Jadx və ya Jadx-Gui ilə dekompilyasiya edilən kodları yenidən build etmək mümkün deyildir!

Kali Linuxa Jadx-Gui quraşdırılması

Jadx və Jadx-GUİ alətlərinin Kali Linuxa yüklənməsi üçün aşağıdakı kommandadan istifadə etmək lazımdır. Bildirmək lazımdır ki, jadx və jadx-gui fərqli alətlər olsada və hər biri quraşdırılması üçün eyni kommanda lazımdır.

apt install jadx

Quraşdırılma bitdikdən sonra terminal ekranına jadx-gui yazmaqla biz jadx alətinin GUİ versiyasını açıldığını görə bilərik. Əgər sizdədə eynən belə bir nəticə varsa, o zaman bu deməkdir ki, Alət uğurla yüklənib və istifadəyə hazırdır.

Emulatora AndroGoat Quraşdırılması

AndroGoat – təhlükəsizlik testlərinin aparmaq üçün nəzərdə tutulmuş, açıq mənbəli və zəifliyi olan tətbiqdir. Bu proqram, Android platformasındakı zəif cəhətləri anlamaq və bu zəif cəhətlərə qarşı müdafiə texnikalarını öyrənmək istəyən təhlükəsizlik mütəxəssisləri, tərtibatçılar və həvəskarlar üçün hazırlanmışdır. Androgoat, tərtibat üçün Kotlin proqramlaşdırma dilindən istifadə edir. Daxilində müxtəlif

AndroGoat Kali Linuxa quraşdırma üçün Github linki göstərilmiş və kommandası verilmişdir.

https://github.com/satishpatnayak/MyTest/raw/refs/heads/master/AndroGoat.apk

Emulatora quraşdırmaq üçün Android Stuionu işə salıb emulatoru başladırıq və aşağıdakı kommanda ilə tətbiqi emulatora quraşdırırıq.

└─# adb install AndroGoat.apk             
Performing Streamed Install
Success

Jadx-Gui istifadə edərək AndroGoat CTF Həlli

Jadx-GUİ alətinin istifadəsini öyrənmək üçün praktiki olaraq AndroGoat CTF tətbiqindən istifadə edəcəyik. AndroGoat tətbiqini açırıq və “HARDCODE İSSUE” hissəsinə daxil oluruq.

CTF məğzi ondan ibarətdir ki, satın alınmalı olan saatın qiymətini sıfırlamaq üçün kupondan istifadə olunur və kupon isə tətbiqin kodlarında gizlədilmişdir. Biz Jadx-Gui alətini istifadə edərək, həmin kodu tapmalıyıq.

Bunun üçün açılmış jadx-gui alətində open file deyərək AndroGoat.apk faylını seçirik və müəyyən müddət gözlədikdən sonra dekompilyasiya edilmiş kodları görürük.

Dekompilyasiya sonrası biz Hardcoded Activity olan faylı axtarırıq və həmin fayl kodları daxilində bizə yararlı olan kuponu tapırıq.

Gördüyümüz kimi bizim axtardığımız kupon NEW2019 dur və bunu dəqiqləşdirmək üçün AndroGoat tətbiqində kuponu tətbiq edirik.

Yazıdanda göründüyü kimi biz kuponu tətbiq etdikdən sonra almaq istədiyimiz məhsulun qiyməti 0 olmuşdur. Məhz belə hallarla qarşılaşmamaq və tətbiqin və sistemin təhlükəsizliyini təmin etmək üçün belə gizli məlumatları tətbiqin kodları daxilində yox backend server üzərində yerləşdirilməlidir.

Ümid edirəm faydalı olmuşdur! Təşəkkürlər!

Bizi izləyin:

Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat