Mobile Security Framework – MobSF Nedir?

MobSF (Mobile Security Framework), statik ve dinamik analiz yapabilen otomatikleştirilmiş bir mobil sızma testi için kullanılan araçtır.

MobSF nasıl kurulur?

Öncelikle MobSF dosyalarını GitHub üzerinden indirmeniz gerekiyor.
https://github.com/MobSF/Mobile-Security-Framework-MobSF

Bilgisayarınıza uygun OpenSSL sürümünü aşağıdaki linkten indirin ve kurun.
https://slproweb.com/products/Win32OpenSSL.html

Sisteminize uygun wkhtmltopdf sürümünü aşağıdaki linkten indirin ve kurun.
https://wkhtmltopdf.org/downloads.html

Java indirin ve kurun.
https://www.java.com/tr/download/

Visual Studio Build Tools programını aşağıdaki linkten indirin ve kurun.
Visual Studio Build Tools

Gerekli programları kurduktan sonra MobSF kurulum aşamasına geçebiliriz. Bu kısımdan sonrası Windows makine üzerinden anlatılacaktır.

İndirdiğiniz MobSF klasörü içerisinde CMD’yi açın ve run.bat dosyasını çalıştırıp kurulumun bitmesini bekleyin. Yukarıda belirtilen araçları kurduysanız kurulum sorunsuz bir şekilde tamamlanacaktır. Eğer hata alırsanız kurulum sırasında zaten neyin eksik olduğunu verdiği hatadan görüp sorunu çözebilirsiniz.

Kurulum tamamlandıktan sonra aşağıdaki resimdeki gibi bir ekran sizi karşılar. Yazılımın sorunsuz bir şekilde kurulduğunu görmekteyiz.

Ardından run.bat komutu ile MobSF abimizi çalıştırıp 127.0.0.1:8080 adresine tarayıcımız üzerinden gidiyoruz.

Başarılı bir şekilde kurulumu tamamladık ve yazılımı çalıştırdık. Artık testlerimizi yapabilir, güvenlik açıklarını tespit edebiliriz!

Static Analysis – Android

Static Analysis – Android Kaynak Kod Görüntüleme

Static Analysis – iOS

Dynamic Analysis – Android APK

Web API Viewer

MobSF özellikleri nelerdir?

1. İnformation (Bilgi)
[+] Uygulama simgesi, uygulama adı, boyutu, paket adı vb. Gibi ekran verileri de MD5 ve SHA1 gösterilir. Bilinen kötü amaçlı uygulamaları tespit etmek için kullanılabilir.

2. Scan Options (Tarama seçenekleri)
[+] Uygulamayı yeniden tarayın.
[+] Dinamik analiz yapılabilir.
[+] Java kodunu ve manifest dosyasını kontrol edilebilir.

3. Certificate Analysis (Sertifika Analizi)
[+] Sertifika bilgilerini gösterir.
[+] Bir uygulamanın orijinal kaynağından gelip gelmediğini belirleyebilirsiniz.

4. Permissions (İzinler)
[+] İzinleri analiz eder.
[+] İzinlerin kritik durumlarını açıklamalarıyla birlikte size sunar.

5. Binary Analysis (İkili analiz)
[+] İkili kod düzeyinde tehdit değerlendirmesi ve güvenlik açığı testi yapar.
[+] Üçüncü taraf kütüphaneleri analiz etmek için de kullanılabilir, daha zengin bir analiz ve uygulamaların kitaplıklarla nasıl etkileşim kuracağına dair daha iyi bilgi sağlar.
[+] Bu, güvenlik sorunlarını belirlemek için ikili kodun analizidir. Kaynak kodunun bulunmadığı üçüncü taraf kitaplıkları kullanan karmaşık sistemler için ikili kod analizi, testlerin tanımlanmasına yardımcı olur.

6. Android API Testi
[+] Java yansıması, konum gibi uygulamada kullanılan android API’sini görüntüleyebilirsiniz.

7. Browsable Activities (Göz atılabilir etkinlikler)
[+] Bu testin sonuçlarına çıktı raporundan ulaşabilirsiniz.

8. Security Analysis (Güvenlik analizi)
Manifest analysis – Manifest analizi
[+] AndroidManifest.xml dosyasındaki bileşenlerden birinin içindeki güvenlik açığını bulabilirsiniz.

Code Analysis – Kod analizi
[+] Java kodunun statik bir analizör tarafından analiz sonucuna ulaşabilirsiniz.
[+] Olası güvenlik açıklarını belirler, önem derecesini ve bu tür güvenlik açığının bulunduğu dosyaları belirler.
[+] Ortak Güvenlik Açığı Puanlama Sistemi mevcuttur.
[+] Güvenlik açığına 0,0 ve 10,0 arasında bir CVSS taban puanı atanır.

CVSS Puanlama Tablosu;
0.0 → No risk
0.1–3.9 → Low risk
4.0–6.9 → Medium risk
7.0–8.9 → High risk
9.0–10.0 → Critical risk score

File Analysis – Dosya Analizi
[+] Dosyaların analizini gösterir.

9. Malware analysis (Kötü amaçlı yazılım analizi)
[+] Virüs gibi belirli bir kötü amaçlı yazılım örneğinin işlevselliğini, kaynağını ve olası etkisini belirleyebilirsiniz.

10. Reconnaissance (Keşif)

URL:
[+] URL’lerin, IP adreslerinin ve depolandıkları veya çağrıldıkları dosyaların listesini görüntüleyebilirsiniz. Android uygulamasının verileri nereye gönderdiğini ve bilgileri nereye depoladığını analiz eder.

Emailler:

[+] Res dizinindeki metin dosyalarını çözümler. (Hassas veriler içerebilir.)

11. Components (Bileşenler)
Uzantıyı tanımlamadan bileşenlerin (etkinlik, hizmet, içerik sağlayıcı ve alıcı), içe aktarılan kitaplıkların ve dosyaların tam bir listesini görüntüleyebilirsiniz.