AndroScanner: Automated Backend Vulnerability Detection for Android Applications
تقدم هذه الورقة AndroScanner، وهو مسار تحليل مؤتمت يجمع بين التحليل الساكن والديناميكي للكشف عن ثغرات الخلفية البرمجية في تطبيقات أندرويد ضد قائمة OWASP لأعلى 10 مخاطر أمنية لواجهات برمجة التطبيقات (API)، حيث نجح في تحديد خمس عيوب بما في ذلك مشكلة "التعرض المفرط للبيانات" (Excessive Data Exposure) من نوع "الثغرة الصفرية" في تطبيق إنتاجي.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
تخيل أنك تملك مقهىً مزدحمًا (تطبيق أندرويد الخاص بك). أنت لا تصنع حبوب البن، أو الحليب، أو السكر بنفسك؛ بل تشتريها من موردين مختلفين (الخلفيات البرمجية والواجهات البرمجية - APIs). يعمل مقهاك بسلاسة لأن هؤلاء الموردين يسلمون بضائعهم عبر باب خلفي.
المشكلة؟ أنت لا ترى الموردين فعليًا. أنت فقط تثق في شاحنات التوصيل. ولكن ماذا لو كانت إحدى تلك الشاحنات تحمل حليبًا فاسدًا، أو أن هناك لصًا يختبئ داخل صندوق التوصيل، ينتظر سرقة أرقام بطاقات الائتمان الخاصة بعملائك؟
هذه هي بالضبط المشكلة التي يحلها AndroScanner.
المشكلة: التوصيل عبر "الصندوق الأسود"
في عالم تطبيقات الهاتف المحمول، يبني المطورون الواجهة الأمامية للتطبيق (القائمة، الأزرار، التصميم)، ولكن العمل الثقيل — مثل تخزين بيانات المستخدم، ومعالجة المدفوعات، وعرض الإعلانات — يتم بواسطة خوادم غير مرئية في السحابة.
غالبًا ما يقول المطورون: "أنا لم أكتب هذا الكود، لقد قمت فقط بتوصيل هذه المكتبة". إنه يشبه قول الطاهي: "أنا لم أفحص سلامة الدقيق؛ سائق الشاحنة هو من أحضره". إذا كان الدقيق مسمومًا، فإن المطعم بأكمله سيصاب بالمرض. قد يفقد ملايين المستخدمين بياناتهم لأن المطور لم يكن يعرف أي "شاحنة توصيل" غير آمنة.
الحل: AndroScanner (مفتش الأمن)
قامت المؤلفة، هاريني داندو، ببناء أداة تسمى AndroScanner. فكر فيها كأنها مفتش أمن خارق يتسلل تحت غطاء ليفحص الأبواب الخلفية للتطبيق.
إليك كيف تعمل، خطوة بخطوة:
1. العمل الاستقصائي (التحليل الساكن - Static Analysis)
أولاً، ينظر المفتش إلى مخططات التطبيق (الكود) دون حتى تشغيل التطبيق.
- الأداة: يستخدم عدسة مكبرة تسمى
apktoolوصانع خرائط يسمىAndroguard. - التشبيه: تخيل تفكيك روبوت لعبة لرؤية الأسلاك المتصلة بالعالم الخارجي. يقرأ المفتش "المانيفست" (بطاقة تعريف الروبوت) ليرى ما هي الأذونات التي يمتلكها الروبوت، ويبحث عن المفاتيح المخفية (مفاتيح API) التي قد تكون متروكة ملقاة هنا وهناك.
2. مهمة التجسس الحية (التحليل الديناميكي - Dynamic Analysis)
النظر في المخططات ليس كافيًا لأن بعض الأسرار لا تُكشف إلا عندما يتحرك الروبوت بالفعل. لذا، يرتدي المفتش "بدلة شبح" ويراقب التطبيق أثناء تشغيله في الوقت الفعلي.
- الأداة: يستخدم أداة تجسس تسمى
Frida. - التشبيه: تخيل الجلوس في مطبخ مطعم أثناء طبخ الطاهي. أنت تراقب كل مرة يفتح فيها الطاهي بابًا إلى العالم الخارجي. ترى بالضبط ما هي البيانات التي يتم إرسالها للخارج وما الذي يعود منها. إذا قام الطاهي بإرسال عنوان منزل العميل إلى طرف ثالث مشبوه، فإن الجاسوس سيمسك به.
3. اختبار الإجهاد (التحقق - Vetting)
بمجرد أن يجد المفتش جميع "الأبواب الخلفية" (APIs)، يحاول كسرها.
- الأداة: يستخدم أداة تسمى
APIFuzzer. - التشبيه: يبدأ المفتش برمي الحجارة على الباب الخلفي. "هل القفل قوي؟ هل يمكنني دفعه وفتحه؟ هل يمكنني خداع الحارس ليدعني أدخل؟" يحاول خداع الخادم لجعله يكشف عن معلومات كثيرة جدًا أو يسمح بدخول كود ضار.
ماذا وجدوا؟
اختبرت المؤلفة هذه الأداة على تطبيقين:
- "تطبيق بنكي ضعيف": كان هذا تطبيقًا تدريبيًا مصممًا ليتم اختراقه. وجد AndroScanner 4 ثغرات أمنية. كان الأمر يشبه العثور على بنك به خزنة مفتوحة ونافذة لا تغلق.
- Hirect (تطبيق توظيف حقيقي): هذا تطبيق شهير لديه أكثر من 50,000 عملية تحميل. وجد AndroScanner ثغرة واحدة خطيرة وهي "التعرض المفرط للبيانات" (Excessive Data Exposure).
- التشبيه: تخيل أن باحثًا عن عمل أرسل رسالة إلى مسؤول توظيف. التطبيق أرسل بالخطأ "الطابع الزمني" (الثانية الدقيقة التي أُرسلت فيها الرسالة) مع الرسالة. يمكن للمخترق استخدام هذه المعلومة الصغيرة ليتظاهر بأنه مسؤول التوظيف ويخدع الباحث عن عمل. الأمر يشبه ترك مفتاح منزلك تحت ممسحة الأرجل؛ قد يبدو أمرًا غير ضار، لكنه دعوة مفتوحة للصوص.
النتيجة
يعمل AndroScanner كـ مترجم. فهو يأخذ البيانات الأمنية المعقدة والمخيفة ويحولها إلى تقرير بسيط لمطور التطبيق.
- قبل: يقول المطور: "أنا لا أعرف ما الخطأ في تطبيقي".
- بعد: يحصل المطور على تقرير يقول: "مهلاً، تطبيقك يسرب الطوابع الزمنية إلى طرف ثالث. إليك بالضبط أين يوجد التسريب وكيف تعالجه".
القيود والخطط المستقبلية
الأداة ليست مثالية بعد.
- حاجز اللغة: هي تتحدث "أندرويد" فقط (التطبيقات القائمة على Java)، وليس "iOS" (تطبيقات Apple).
- الأسرار المشفرة: إذا قام التطبيق بإخفاء بياناته داخل صندوق مغلق (تشفير) لا يملك المفتش مفتاحه، فلن يتمكن المفتش من الرؤية بالداخل.
- تجربة المستخدم: حاليًا، هي أداة تعمل عبر سطر الأوامر (مثل واجهة حاسوب نصية). ذكر أحد أصدقاء المطور: "أحتاج إلى لوحة تحكم جميلة بها أزرار، وليس مجرد نصوص!".
الصورة الكبيرة
الهدف النهائي لـ AndroScanner هو إيقاف "الثقة العمياء" في تطبيقات الهاتف المحمول. إنه يريد منح المطورين مصباحًا يدويًا حتى يتمكنوا من رؤية الزوايا المظلمة في خلفياتهم البرمجية قبل أن يفعل المخترقون ذلك. ومن خلال أتمتة هذه العملية، يأمل في جعل النظام البيئي للهواتف المحمولة أكثر أمانًا للجميع، بدءًا من الشخص الذي يطلب القهوة وصولًا إلى الشخص الذي يتحقق من رصيده البنكي.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.