Descarga AUSERA - Descargar el código fuente AUSERA

AUSERA

Otras categorias

1.0.0

Descargar

Nuevo: Proponemos una plataforma unificada llamada Vustotal para evaluar las herramientas de Android SAST. La plataforma combina la capacidad de detección de 11 herramientas de Android SAST y genera un informe de detección correspondiente (archivo CSV) para el APK de destino.

Ausera

AUSERA es una herramienta automatizada para detectar vulnerabilidades de seguridad en las aplicaciones de Android. Hemos puesto la herramienta y el conjunto de datos de referencia correspondiente disponible públicamente. Esperamos que este proyecto pueda beneficiar a otros investigadores o practicantes en el campo del análisis de seguridad de las aplicaciones de Android. No dude en contactarnos ([email protected]) si tiene alguna pregunta y problema. Continuaremos manteniendo este proyecto. Gracias por tus comentarios.

Configuración del entorno

Ubuntu/MacBook
Python: (tanto 2 como 3 deberían estar bien)
APKTOOL: 2.6.1 (utilice la versión más reciente de APKTool), Ref: Instrucciones de instalación de APKTOOL
Java Environment (JDK): JDK1.8.0_45 export JAVA_HOME=/usr/lib/jvm/jdk1.8.0_45 Instalar Android SDK, Ref: SDKManager. En Mac, los SDK se guardarán en ~/Library/Android/sdk/platforms
Abra ~/.bashrc y configure la ruta de JDK y SDK (reemplace por sus propias rutas):

 export JAVA_HOME=/usr/lib/jvm/jdk1.8.0_45
export JAVA_BIN=/usr/lib/jvm/jdk1.8.0_45/bin
export CLASSPATH=.:${JAVA_HOME}/lib/dt.jar:${JAVA_HOME}/lib/tools.jar
export PATH=$PATH:${JAVA_HOME}/bin
export PATH=$PATH:/home/dell/Android/Sdk/tools
export PATH=$PATH:/home/dell/Android/Sdk/platform-tools
export PATH=$PATH:/home/dell/Android/Sdk/emulator
export JAVA_HOME JAVA_BIN CLASSPATH PATH

Registro de ejecución

https://youtu.be/sfuk3b3iueu

Uso

Ponga el archivo APK de Target en la carpeta apks
El informe de salida se puede encontrar en engine-result/engine-report/apk_sha256_output.json

Formato de comando:

python apk-engine.py [Repo_Path] [JAVA_HOME_Path] [SDK_Platform_Path]

Ejemplo:

python2.7 apk-engine.py /media/dell/49fff1d2-ef19-4e4d-855b-4eca95be873a/dell/Tools/ausera-main/ /usr/lib/jvm/jdk1.8.0_45/ /media/dell/49fff1d2-ef19-4e4d-855b-4eca95be873a/dell/Tools/ausera-main/engine-configuration/libs/android-platforms/

Producción

 Public Id: BUG-A003-0001; 
Type: Security Bug; 
Risk Level: High; 
Risk Score: 8;
Sub Type: SMS data leakage; // App vulnerability type
Description: The app sends an SMS attached with the sensitive data (in plaintext) to authenticate that user, but the data is stored in the SMS outbox unexpectedly. If an adversary registers a content observer to the SMS outbox on the mobile device with some permissions, the user's sensitive data can be easily intercepted by the adversary who impersonates that user to manipulate her legitimate banking account.
Location: Found a flow to sink virtualinvoke $r10.<android.telephony.SmsManager: void sendTextMessage(), from the following sources: $r5 = virtualinvoke $r4.<android.widget.EditText: android.text.Editable getText()>() (in <com.globe.gcash.android.activity.transaction.RegistrationTransactionActivity: void doNext()>) 
=> RegistrationTransactionActivity;doNext();$r4;$r5 // Activity, Method, Variables logging
==> pin;firstName;lastName;addr // Sensitive data tagging
Patch Method: Avoid sending sensitive data via SMS and store the sensitive data in the SMS outbox accordingly.

Papeles

[1] Ausera: Evaluación automatizada de riesgos de seguridad para la detección de vulnerabilidades en aplicaciones de Android

 @inproceedings{chen2022ausera,
  title={AUSERA: Automated Security Risk Assessment for Vulnerability Detection in Android Apps},
  author={Chen, Sen and and Zhang, Yuxin and Fan, Lingling and Li, Jiaming and Liu, Yang},
  booktitle={ASE},
  year={2022}
}

[2] Una evaluación empírica de los riesgos de seguridad de las aplicaciones globales de banca Android

 @inproceedings{chen2019ausera,
  title={An Empirical Assessment of Security Risks of Global {Android} Banking Apps},
  author={Chen, Sen and Fan, Lingling and Meng, Guozhu and Su, Ting and Xue, Minhui and Xue, Yinxing and Liu, Yang and Xu, Lihua},
  booktitle={ICSE},
  year={2020}
}

[3] ¿Son seguras las aplicaciones de banca móvil? ¿Qué se puede mejorar?

 @inproceedings{chen2018mobile,
  title={Are mobile banking apps secure? {What} can be improved?},
  author={Chen, Sen and Su, Ting and Fan, Lingling and Meng, Guozhu and Xue, Minhui and Liu, Yang and Xu, Lihua},
  booktitle={ESEC/FSE},
  year={2018}
}