Android uygulamanızın sızma testini yapın

Aikido’nun temsilcileri, gerçek Android uygulamanızı yükler, bir kullanıcı olarak oturum açar ve bir saldırganın yapacağı şekilde uygulamaya saldırır; bu süreçte hem uygulamayı hem de arka uç sistemini aynı anda inceler. Doğrulanmış her sorunun yanında, sorunu yeniden canlandırmak için gerekli adımlar da ayrıntılı olarak belirtilir.

Manuel bir testin planlanması günler ya da haftalar sürer ve yalnızca bir kez gerçekleştirilir; test sırasında incelenen sürüm, teste başlandığında çoktan güncelliğini yitirmiş olur; üstelik rapor alındıktan sonra da ürün sürümlerini yayınlamaya devam ettiğiniz için sonuçlar hızla geçerliliğini yitirir. Android AI Pentesting ise istediğiniz zaman çalıştırılabilir ve birkaç saat içinde tekrarlanabilir, istismar olasılığı doğrulanmış sonuçlar sunar.

Genellikle birkaç saat içinde. APK dosyanızı yükleyin, kaynak kodunuza bağlantı verin, bir test kullanıcısı ekleyin; ardından ajanlar uygulamayı incelemeye başlar.

Şu an için yalnızca beyaz kutu Android sızma testlerini desteklediğimizden, kaynak koduna erişim gereklidir. Kaynak kodu ve çalışan uygulama elinde olduğunda, ajan, kara kutu taramalarının gözden kaçırdığı mantık hatalarını tespit edebilir.

Bu derleme, sertifika sabitleme özelliğini kullanamaz; ayrıca kök erişim algılama, emülatör algılama veya herhangi bir RASP özelliği etkinleştirilmiş olamaz. Bu koruma önlemleri, ajanların uygulamayı bir test cihazına yüklemesini ve izleme araçlarını kurmasını engeller; bu nedenle, bu özellikler devre dışı bırakılmış bir derlemeyi yükleyin.

Güvenli olmayan WebView kullanımı, derin bağlantı ve dışa aktarılan bileşenlerin kötüye kullanımı, istemci tarafında kimlik doğrulama sorunları, enjeksiyon açıkları, hatalı erişim kontrolü, zayıf oturum yönetimi ve güvenli olmayan API davranışları dahil olmak üzere, bir Android sızma testinden bekleyebileceğiniz her şey. Ayrıca, uygulamanın nasıl davranması gerektiği konusunda mantıksal analizler yaparak, iş mantığı kusurlarını ve IDOR’lar, kiracılar arası erişim ve kimlik doğrulama atlamaları gibi yetkilendirme sorunlarını da tespit eder.

Bulgular, ajanlar tarafından canlı uygulamada başarıyla istismar edilip doğrulandıktan sonra raporlanır. Bir saldırı girişimi doğrulanamazsa, bu girişim göz ardı edilir ve sonuçlarınızda asla gösterilmez.

Aikido, kodunuzu zaten anladığından, AutoFix tespit edilen bir güvenlik açığı için hedefli bir düzeltme oluşturur ve bir çekme isteği açar; böylece ekibiniz düzeltmeyi inceleyebilir ve kendi koşullarına göre birleştirebilir. Düzeltmeyi onaylamak için uygulamayı yeniden derleyin ve yeni APK dosyasını yükleyerek aynı kapsamda yeniden test edin.

Ajanların hangi hedefleri saldırıya uğratabileceğini ve hangilerine sadece erişebileceğini siz belirlersiniz. Trafik, her isteği bu kapsam çerçevesinde doğrulayan bir proxy üzerinden geçer; ajanlar varsayılan olarak tahribatsız modda çalışmaya başlar ve değerlendirme öncesinde ön kontroller gerçekleştirilir. Herhangi bir sorun ortaya çıkarsa, test otomatik olarak duraklatılır ve anında durdurulabilir.

Evet. Her test, doğrulanmış bulgular, istismar kanıtı ve düzeltme önerileri içeren, denetime hazır bir sızma testi raporu oluşturur.

Aikido’nun ajanları, insan denetimleriyle aynı düzeyde performans gösterdi ve bazı durumlarda, manuel test uzmanlarının genellikle gözden kaçırdığı derin mantık hataları da dahil olmak üzere, tutarlı bir şekilde daha fazla yolu inceleyerek bu performansı aştı. Aradaki fark, sıklıkta yatıyor: insan tarafından yapılan sızma testi tek seferlikken, ajanlar her derlemede yeniden çalıştırılıyor.