【发布时间】：2016-04-27 19:17:26
【问题描述】：
我正在开展一个项目，要求我手动对 Android 应用 APK 进行安全分析，例如滥用电话标识符、暴露物理位置等。负担在于我不知道该怎么做。我知道如何将 apk 反编译成 java 类，但之后呢？
我的问题：是否有进行此类分析的最佳实践、工具和通用指南？
【问题讨论】：
标签： android security apk analysis decompiler
【发布时间】：2016-04-27 19:17:26
【问题描述】：
虽然这是一个非常普遍的问题，需要对安全领域有广泛的了解，但这里有一些选项...
- 从 dex->jar->java 反编译应用程序，看看代码被混淆的程度。更多信息在这里：decompiling DEX into Java sourcecode
- 使用WireShark 或其他替代方法拦截通过WiFi 路由器发送的数据包。如果数据包正在发送原始位置，您就知道出了点问题。一个真实的例子是这样的：Marijuana app reveals location
【讨论】：
-
非常感谢@Quinn 的回复。我意识到我的问题可能被认为是一般性的，但作为安全领域的学生和初学者，我对进行此类分析几乎没有了解和经验。因此，我想知道如何进行手动分析，是否有一种通用的方法可以做到这一点？或者它只是寻找可能的自愿性并报告它们！
-
每个安全研究人员都有自己的方法来发现漏洞。查找漏洞的“最佳方法”取决于软件类型和它们正在进行的活动。您表达了您应该解决的一些活动，上述方法是一个不错的开始。
-
你好@Quinn 你能告诉我其他易受攻击的应用程序，因为我尝试了很多次来解码“HighThere”APK，但在使用时我一直收到“无法解码 arcs 文件”错误APKtool，当我尝试使用 dex2jar 和 JD-GUI 手动解码步骤时，我有 .java 文件但没有清单。
-
显然 Apktool 已更新以解码 arcs 文件：stackoverflow.com/a/30695269/4400318 除非您精通 Java 并且有大量时间，否则您可能无法对 java 文件进行解密。无论哪种方式，您都面临着艰巨的任务。