Đề Tài Kiểm Thử Xâm Nhập Ứng Dụng Android

Kiểm thử xâm nhập ứng dụng Android là một phần quan trọng trong quy trình phát triển phần mềm. 81 trang · Học viện Công nghệ Bưu chính Viễn thông · 2021.

• Tác giả: Trần Minh Nhật
• Người hướng dẫn: TS. Nguyễn Ngọc Điệp
• Trường học: Học viện Công nghệ Bưu chính Viễn thông
• Chuyên ngành: An toàn thông tin
• Đề tài: Kiểm thử xâm nhập ứng dụng Android
• Loại tài liệu: Đồ án tốt nghiệp
• Năm xuất bản: 2021
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CẢM ƠN
• 1. CHƯƠNG 1: TỔNG QUAN
• 1.1. Giới thiệu về kiểm thử xâm nhập
• 1.2. Một số khái niệm trong kiểm thử xâm nhập
• 1.3. Giới thiệu về kiểm thử xâm nhập ứng dụng Android
• 1.4. Khảo sát hiện trạng
• 1.4.1. Các quy trình kiểm thử xâm nhập ứng dụng Android
• 1.4.2. Phân tích và đánh giá
• 2. CHƯƠNG 2: KIỂM THỬ ỨNG DỤNG ANDROID
• 2.1. Đề xuất quy trình kiểm thử mới
• 2.2. Những thay đổi trong quy trình kiểm thử mới
• 2.3. Kiểm thử lưu trữ dữ liệu và quyền riêng tư
• 2.4. Kiểm thử thuật toán mã hóa
• 2.5. Kiểm thử xác thực và quản lý phiên
• 2.6. Kiểm thử giao thức kết nối
• 2.7. Kiểm thử tương tác nền tảng
• 2.8. Kiểm thử chất lượng mã nguồn và cấu hình bản phát hành
• 2.9. Kiểm thử phương pháp bảo vệ ứng dụng
• 3. CHƯƠNG 3: XÂY DỰNG CÔNG CỤ KIỂM THỬ
• 3.1. Giới thiệu công cụ
• 3.2. Phân tích yêu cầu
• 3.3. Thiết kế công cụ
• 3.4. Sơ đồ quy trình xử lý của công cụ
• 3.5. Cài đặt công cụ
• 3.6. Thử nghiệm và đánh giá
• 3.6.1. Đối tượng thử nghiệm
• 3.6.2. Thí nghiệm công cụ
• 3.6.3. Danh sách kết quả
• 3.6.4. Phương hướng phát triển
• 4. CHƯƠNG 4: XÂY DỰNG LAB THỬ NGHIỆM
• 4.1. Giới thiệu lab thử nghiệm
• 4.2. Phân tích yêu cầu
• 4.3. Yêu cầu về tính năng
• 4.4. Thiết kế ứng dụng lab
• 4.5. Mô tả thiết kế và tính năng
• 4.6. Thử nghiệm và đánh giá
• 4.6.1. Phạm vi thử nghiệm
• 4.6.2. Thử nghiệm lab
• 4.6.3. Phương hướng phát triển
• 5. CHƯƠNG 5: KẾT LUẬN
• 5.1. Kết quả đạt được
• 5.2. Phương hướng phát triển
• TÀI LIỆU THAM KHẢO

Tóm tắt

I. Tổng Quan Về Kiểm Thử Xâm Nhập Ứng Dụng Android

Kiểm thử xâm nhập ứng dụng Android là một phần quan trọng trong quy trình phát triển phần mềm. Nó giúp phát hiện các lỗ hổng bảo mật tiềm tàng trong ứng dụng, từ đó bảo vệ dữ liệu người dùng và tăng cường an ninh mạng. Việc thực hiện kiểm thử xâm nhập không chỉ giúp phát hiện các điểm yếu mà còn cung cấp cái nhìn tổng quan về tình trạng bảo mật của ứng dụng.

1.1. Khái Niệm Kiểm Thử Xâm Nhập Ứng Dụng Android

Kiểm thử xâm nhập ứng dụng Android là quá trình mô phỏng các cuộc tấn công nhằm phát hiện lỗ hổng bảo mật. Mục tiêu là xác định các điểm yếu có thể bị khai thác bởi tin tặc, từ đó đưa ra các biện pháp khắc phục.

1.2. Tầm Quan Trọng Của Kiểm Thử Xâm Nhập

Kiểm thử xâm nhập giúp tổ chức phát hiện và khắc phục các lỗ hổng bảo mật trước khi chúng bị khai thác. Điều này không chỉ bảo vệ dữ liệu mà còn nâng cao uy tín của ứng dụng trên thị trường.

II. Các Thách Thức Trong Kiểm Thử Xâm Nhập Ứng Dụng Android

Mặc dù kiểm thử xâm nhập mang lại nhiều lợi ích, nhưng cũng tồn tại nhiều thách thức. Các ứng dụng Android ngày càng phức tạp, điều này làm cho việc phát hiện lỗ hổng trở nên khó khăn hơn. Ngoài ra, sự phát triển nhanh chóng của công nghệ cũng tạo ra nhiều lỗ hổng mới.

2.1. Sự Phức Tạp Của Ứng Dụng Android

Các ứng dụng Android hiện nay thường tích hợp nhiều tính năng và dịch vụ, điều này làm tăng khả năng xuất hiện lỗ hổng bảo mật. Việc kiểm thử cần phải được thực hiện một cách toàn diện để đảm bảo an toàn.

2.2. Thiếu Tài Nguyên Kiểm Thử

Nhiều tổ chức không có đủ nguồn lực để thực hiện kiểm thử xâm nhập một cách thường xuyên. Điều này dẫn đến việc các lỗ hổng bảo mật không được phát hiện kịp thời.

III. Phương Pháp Kiểm Thử Xâm Nhập Ứng Dụng Android Hiệu Quả

Để thực hiện kiểm thử xâm nhập hiệu quả, cần áp dụng các phương pháp và công cụ phù hợp. Việc lựa chọn phương pháp kiểm thử đúng sẽ giúp phát hiện lỗ hổng một cách nhanh chóng và chính xác.

3.1. Quy Trình Kiểm Thử Xâm Nhập

Quy trình kiểm thử xâm nhập bao gồm các bước như lập kế hoạch, thu thập thông tin, quét lỗ hổng, khai thác và báo cáo. Mỗi bước đều cần được thực hiện cẩn thận để đảm bảo tính chính xác.

3.2. Công Cụ Hỗ Trợ Kiểm Thử

Có nhiều công cụ hỗ trợ kiểm thử xâm nhập ứng dụng Android như Burp Suite, MobSF, và OWASP ZAP. Những công cụ này giúp tự động hóa quá trình kiểm thử và phát hiện lỗ hổng nhanh chóng.

IV. Ứng Dụng Thực Tiễn Của Kiểm Thử Xâm Nhập Ứng Dụng Android

Kiểm thử xâm nhập không chỉ là lý thuyết mà còn có ứng dụng thực tiễn trong việc bảo vệ dữ liệu người dùng. Nhiều tổ chức đã áp dụng kiểm thử xâm nhập để nâng cao an ninh cho ứng dụng của mình.

4.1. Các Tình Huống Thực Tế

Nhiều ứng dụng đã bị tấn công do lỗ hổng bảo mật chưa được phát hiện. Việc thực hiện kiểm thử xâm nhập giúp các tổ chức phát hiện và khắc phục kịp thời, bảo vệ dữ liệu người dùng.

4.2. Kết Quả Nghiên Cứu

Nghiên cứu cho thấy rằng các ứng dụng đã thực hiện kiểm thử xâm nhập có tỷ lệ lỗ hổng bảo mật thấp hơn đáng kể so với các ứng dụng không thực hiện kiểm thử.

V. Kết Luận Về Kiểm Thử Xâm Nhập Ứng Dụng Android

Kiểm thử xâm nhập ứng dụng Android là một phần không thể thiếu trong quy trình phát triển phần mềm. Nó giúp bảo vệ dữ liệu người dùng và nâng cao an ninh mạng. Tương lai của kiểm thử xâm nhập sẽ tiếp tục phát triển cùng với sự tiến bộ của công nghệ.

5.1. Tương Lai Của Kiểm Thử Xâm Nhập

Với sự phát triển không ngừng của công nghệ, kiểm thử xâm nhập sẽ ngày càng trở nên quan trọng hơn. Các tổ chức cần đầu tư vào kiểm thử để bảo vệ dữ liệu và nâng cao an ninh.

5.2. Khuyến Nghị Đối Với Các Tổ Chức

Các tổ chức nên thực hiện kiểm thử xâm nhập định kỳ và đào tạo nhân viên về an ninh mạng. Điều này sẽ giúp phát hiện và khắc phục lỗ hổng bảo mật kịp thời.

Nội dung chính

Bối cảnh và vấn đề nghiên cứu

Sự xuất hiện của các thiết bị di động thông minh từ năm 2007, đánh dấu bởi việc Apple ra mắt chiếc iPhone đầu tiên và Google công bố hệ điều hành Android phiên bản thử nghiệm 1.0, đã tạo nên bước ngoặt lớn trong ngành công nghệ thông tin. Hệ sinh thái Android với mã nguồn mở nhanh chóng được nhiều nhà sản xuất lớn như Samsung, Oppo, Xiaomi ứng dụng, dẫn đến sự gia tăng nhanh chóng về số lượng ứng dụng trên cửa hàng Google Play. Tuy nhiên, sự phát triển này cũng kéo theo nguy cơ mất an toàn thông tin nghiêm trọng. Dẫn liệu từ báo cáo của hãng bảo mật Kaspersky cho thấy trong năm 2020 đã ghi nhận 156.710 ứng dụng mã độc, tăng hơn 224% so với năm 2019. Các ứng dụng độc hại này chủ yếu tập trung đánh cắp dữ liệu ngân hàng điện tử, mã hóa dữ liệu tống tiền hoặc lợi dụng đại dịch Covid-19 để lừa đảo người dùng.

Trong quy trình phát triển phần mềm hiện đại, kiểm thử xâm nhập đóng vai trò then chốt nhằm phát hiện sớm các lỗ hổng trước khi ứng dụng được phát hành. Mặc dù kiểm thử xâm nhập ứng dụng web đã phát triển hoàn thiện với nhiều tiêu chuẩn quốc tế, lĩnh vực kiểm thử xâm nhập trên hệ điều hành Android vẫn tồn tại nhiều hạn chế thực tiễn:

• Các quy trình kiểm thử hiện hành còn mang nặng tính lý thuyết lập trình an toàn, chưa hướng dẫn chi tiết phương pháp tấn công mô phỏng hoặc có sự trùng lặp giữa các cấp độ nguy cơ.
• Các khóa học và chứng chỉ quốc tế phổ biến chưa theo kịp sự phát triển của hệ điều hành Android, sử dụng công cụ cũ và thiếu môi trường thực hành tái hiện các lỗ hổng đương đại.
• Các công cụ rà quét tự động phổ biến hiện nay chỉ dừng lại ở mức thông báo nguy cơ tiềm ẩn mà không hỗ trợ cơ chế khai thác tự động để kiểm chứng lỗ hổng, gây tốn thời gian cho chuyên viên an ninh mạng.

Mục tiêu và nhiệm vụ nghiên cứu của đề tài được xác định theo 3 nội dung chính:

1. Nghiên cứu, đánh giá các quy trình hiện hành nhằm đề xuất quy trình kiểm thử xâm nhập ứng dụng Android cải tiến, có tính thực tiễn cao và bổ sung danh mục công cụ hỗ trợ tương ứng cho từng đề mục.
2. Xây dựng công cụ kiểm thử tự động hỗ trợ rà quét và khai thác lỗ hổng cấu hình cơ sở dữ liệu thời gian thực Firebase trong ứng dụng Android.
3. Thiết kế và triển khai ứng dụng thực hành cục bộ (lab) nhằm mô phỏng các lỗ hổng an toàn thông tin phổ biến, hỗ trợ người học theo dõi tiến độ và kiểm chứng hiệu quả của công cụ kiểm thử.

Đối tượng nghiên cứu của đồ án là quy trình kiểm thử xâm nhập, các phương thức tấn công khai thác lỗ hổng trên ứng dụng Android, các công cụ kiểm thử mã nguồn mở và cơ chế kiểm soát an toàn của hệ điều hành Android. Phạm vi nghiên cứu tập trung vào các ứng dụng phân phối dưới định dạng tệp tin APK trên nền tảng Android, dựa trên các tài liệu, khóa học và công cụ an ninh mạng được khảo sát và ghi nhận tính đến thời điểm tháng 12 năm 2021.

Cơ sở lý thuyết và phương pháp

Khung lý thuyết của đề tài dựa trên định nghĩa chuẩn về kiểm thử xâm nhập: phương thức đánh giá mức độ an toàn của hệ thống công nghệ thông tin thông qua việc mô phỏng các cuộc tấn công thực tế trong một khung thời gian quy định trước (thường từ vài tuần đến một tháng). Nghiên cứu xác lập ba khái niệm nền tảng trong an toàn thông tin:

• Lỗ hổng (vulnerabilities): Điểm yếu trong phần mềm, phần cứng hoặc cấu hình cho phép đối tượng tấn công xâm nhập hệ thống.
• Khai thác (exploits): Hành vi tận dụng lỗ hổng, lỗi phần mềm hoặc dữ liệu bất thường để thực hiện các hành động không mong muốn như leo thang đặc quyền, đánh cắp thông tin hoặc gây từ chối dịch vụ.
• Trọng tải (payloads): Phần dữ liệu đặc thù được truyền đi để kích hoạt và khai thác thành công lỗ hổng bảo mật.

Về tiêu chuẩn nghiệp vụ, nghiên cứu tham chiếu bộ hướng dẫn kiểm thử bảo mật di động MSTG (Mobile Security Testing Guide) do tổ chức OWASP (Open Web Application Security Project) ban hành, bao gồm 8 nhóm kiểm soát chính: kiến trúc (ARCH), lưu trữ dữ liệu (STORAGE), mật mã (CRYPTO), xác thực và phiên (AUTH), mạng (NETWORK), tương tác nền tảng (PLATFORM), chất lượng mã nguồn (CODE) và khả năng phục hồi/tự vệ (RESILIENCE). Ngoài ra, đề tài liên hệ đến tiêu chuẩn bảo mật dữ liệu thẻ thanh toán PCI-DSS và tiêu chuẩn quản lý khóa NIST SP 800-57.

Phương pháp nghiên cứu kết hợp giữa phân tích lý thuyết, đối sánh định lượng và thực nghiệm kỹ thuật:

• Phương pháp phân tích và khảo sát hiện trạng: Phân tích 2 bộ quy trình kiểm thử (OWASP MSTG và quy trình của công ty chuyên sâu Oversecured); khảo sát và chấm điểm định lượng 3 chương trình đào tạo chứng chỉ quốc tế (CEH v11 của EC-Council, MASPT v2 của eLearnSecurity, CMWAPT của Infosec Institute) cùng hơn 10 khóa học trực tuyến khác trên thang điểm 7 tiêu chí; khảo sát, phân loại 11 công cụ kiểm thử an ninh ứng dụng di động.
• Phương pháp thực nghiệm và phát triển kỹ thuật: Tinh gọn và thiết lập bộ quy trình kiểm thử chuẩn hóa; lập trình công cụ tự động hóa rà quét và khai thác Firebase Database; lập trình ứng dụng Android cục bộ ("PTIT pentest lab") để kiểm thử thực nghiệm các kịch bản tấn công dịch ngược và khai thác dữ liệu.

Nguồn dữ liệu sử dụng trong đồ án bao gồm tài liệu kỹ thuật của OWASP MSTG, cơ sở dữ liệu lỗ hổng của Oversecured, tài liệu các khóa học CEH, MASPT, CMWAPT, số liệu thống kê an ninh mạng năm 2020 từ Kaspersky, các báo cáo tiền thưởng lỗ hổng bảo mật (Bug Bounty) thực tế từ nền tảng HackerOne (điển hình là lỗ hổng ghi nhật ký của ứng dụng Shopify được trao thưởng 2.000 USD, lỗi Webview của Twitter Lite, lỗi Service của IRCCloud), cùng kết quả đo kiểm trực tiếp trên các công cụ như MobSF, Apktool, Burp Suite, Objection và Frida.

Thiết kế và triển khai

Nhằm giải quyết các khoảng trống kỹ thuật được phát hiện trong quá trình khảo sát, tác giả đã tiến hành thiết kế và phát triển hai thành phần kỹ thuật phục vụ trực tiếp cho kiểm thử xâm nhập ứng dụng Android.

Công cụ kiểm thử tự động Firebase Scan

Công cụ Firebase Scan được thiết kế để giải quyết hạn chế của công cụ mã nguồn mở phổ biến MobSF (vốn chỉ có khả năng rà quét phát hiện cấu hình cho phép đọc công khai nhưng không hỗ trợ trích xuất cơ sở dữ liệu hay kiểm tra quyền ghi).

• Yêu cầu chức năng: Tự động hóa tiếp nhận tệp tin mã nguồn APK hoặc đường dẫn cơ sở dữ liệu Firebase Realtime Database; phân tích các chuỗi tài nguyên chuỗi (strings.xml); thực hiện kiểm tra quyền đọc (read) và quyền ghi (write); trích xuất toàn bộ dữ liệu cấu trúc JSON nếu cơ sở dữ liệu mở quyền đọc; tự động tạo dữ liệu mẫu để thử nghiệm ghi dữ liệu nếu mở quyền ghi.
• Quy trình xử lý: Sau khi nhận dữ liệu đầu vào từ người dùng hoặc qua cơ chế dịch ngược APK, công cụ tiến hành gửi các yêu cầu HTTP tới điểm cuối Firebase tương ứng kèm theo phần mở rộng .json. Kết quả phản hồi được phân tích để xác định mức độ bảo mật của cấu hình và tương tác trực tiếp với người dùng tại giao diện dòng lệnh.

Tiêu chí so sánh	Công cụ MobSF	Công cụ Firebase Scan
Phát hiện đường dẫn Firebase trong ứng dụng	Có hỗ trợ	Có hỗ trợ
Kiểm tra quyền đọc dữ liệu (Read)	Có hỗ trợ	Có hỗ trợ
Kiểm tra quyền ghi dữ liệu (Write)	Không hỗ trợ	Có hỗ trợ
Tự động trích xuất nội dung cơ sở dữ liệu	Không hỗ trợ	Có hỗ trợ
Phương thức tương tác khai thác	Tĩnh/Báo cáo	Tương tác trực tiếp qua dòng lệnh

Ứng dụng thực hành PTIT Pentest Lab

Ứng dụng PTIT Pentest Lab được xây dựng dưới dạng một ứng dụng di động Android nguyên bản, đóng vai trò môi trường giả lập cục bộ an toàn để luyện tập các kỹ thuật tấn công và xác minh tính hiệu quả của công cụ kiểm thử.

• Thiết kế hệ thống: Gồm màn hình xác thực đăng nhập, màn hình theo dõi và quản lý tiến độ hoàn thành bài tập, menu phân loại các bài lab theo từng nhóm lỗ hổng thực tế. Mỗi bài tập hiển thị đầy đủ thông tin về cơ chế phát sinh lỗi, đánh giá mức độ rủi ro, hậu quả tiềm tàng, mã khai thác mẫu, phương án vá lỗi và điều kiện cờ (flag) để ghi nhận hoàn thành.
• Kịch bản triển khai thử nghiệm: Tác giả triển khai bài thực hành dịch ngược số 1 (Reverse Engineering Lab 1). Quy trình kiểm thử thực tế được thực hiện bằng cách dùng công cụ Apktool để giải nén tệp tin APK của ứng dụng lab, phân tích mã nguồn trung gian (Smali) và các tệp cấu hình tài nguyên để tìm kiếm chuỗi thông tin đăng nhập của tài khoản quản trị viên (admin) bị mã hóa cứng trong mã nguồn. Sau khi trích xuất thành công tài khoản và đăng nhập vào ứng dụng, hệ thống tự động xác nhận bài tập hoàn thành và cập nhật trạng thái trên thanh tiến độ.

Nội dung chính theo từng chương

Chương 1: Tổng quan

Chương 1 hệ thống hóa các khái niệm căn bản về kiểm thử xâm nhập trên nền tảng Android, đồng thời thực hiện khảo sát toàn diện hiện trạng ba trụ cột: quy trình, đào tạo và công cụ.

Tác giả tiến hành so sánh đối đầu giữa hai quy trình kiểm thử phổ biến: quy trình của tổ chức OWASP và quy trình của công ty Oversecured. Quy trình OWASP MSTG được đánh giá cao nhờ cấu trúc phân nhóm khoa học, bao quát toàn diện các khía cạnh an toàn thông tin, tuy nhiên lại tồn tại điểm hạn chế là nặng về hướng dẫn lập trình an toàn, thiếu tính thực chiến tấn công và chứa một số tiêu chí không thực tế (ví dụ: mục MSTG-STORAGE-9 yêu cầu che màn hình đa nhiệm chỉ phù hợp với tiêu chuẩn PCI; mục MSTG-PLATFORM-5 hướng dẫn kiểm thử XSS trên Webview nhưng không nêu rõ payload chuyên biệt cho Android). Ngược lại, quy trình của Oversecured tập trung sâu vào các lỗ hổng lập trình cụ thể nhưng thiếu hệ thống mã định danh chuẩn, danh mục kiểm thử bị phân mảnh theo mức độ nguy hiểm dẫn đến trùng lặp nhiều nội dung và bỏ sót các yêu cầu kiểm thử tổng thể.

Khảo sát hệ thống đào tạo chứng chỉ quốc tế được lượng hóa qua việc đánh giá 3 chương trình tiêu biểu (CEH v11, MASPT v2, CMWAPT) cùng hơn 10 khóa học trực tuyến khác theo 7 tiêu chí trên thang điểm từ 1 đến 5:

Tiêu chí đánh giá (Thang điểm 1 - 5)	CEH	MASPT	CMWAPT
1. Nội dung bao gồm đầy đủ kiến thức cơ bản	3	4	4
2. Giải thích kỹ các kiến thức	5	3	2
3. Có các ví dụ thực tế	1	3	1
4. Đưa ra các quy trình kiểm thử trong thực tế	1	1	1
5. Hướng dẫn thực hiện kiểm thử xâm nhập	1	1	1
6. Giới thiệu các công cụ kiểm thử	2	3	4
7. Các bài lab tái hiện những lỗ hổng còn xuất hiện trong thực tế	1	3	1
Tổng điểm đánh giá	14	18	14

Kết quả khảo sát công cụ ghi nhận 11 phần mềm thuộc 4 nhóm công năng chính: hỗ trợ kết nối (ADB, Brida), dịch ngược mã nguồn (Bytecode Viewer, JADX, Apktool, Frida), rà quét lỗ hổng tự động (MobSF, Mariana Trench, Drozer, Qark) và chặn bắt gói tin mạng (Burp Suite). Trong đó, một số công cụ như Drozer, Qark hay Bytecode Viewer đã suy giảm mức độ sử dụng do sự xuất hiện của các giải pháp thay thế hiệu quả hơn như MobSF và JADX. Từ các hạn chế được chỉ ra, chương 1 xác lập 3 hướng đi cốt lõi: hoàn thiện quy trình kiểm thử mới, xây dựng công cụ quét Firebase và phát triển bộ lab thực hành.

Chương 2: Kiểm thử ứng dụng Android

Chương 2 trình bày chi tiết quy trình kiểm thử xâm nhập ứng dụng Android được tác giả đề xuất dựa trên việc kế thừa, sàng lọc và phát triển từ bộ khung OWASP MSTG. Tác giả thực hiện loại bỏ các tiêu chí lỗi thời không còn giá trị thực tiễn (như kiểm tra hàm addJavascriptInterface trên Android 4.1 trở xuống hay lớp SecureRandom trên Android 4.2 trở xuống), gộp các đề mục trùng lặp và bổ sung các hạng mục kiểm thử mới phát sinh theo công nghệ hiện đại.

Quy trình mới được cấu trúc thành các nhóm nội dung nghiệp vụ:

• Lưu trữ dữ liệu và quyền riêng tư (STORAGE-1 đến STORAGE-8): Cải tiến các mục kiểm tra lưu trữ dữ liệu nhạy cảm không cần thiết (STORAGE-1, gộp MSTG-STORAGE-3 và 4), lưu trữ tại bộ nhớ ngoài (STORAGE-2), lộ dữ liệu qua bộ nhớ đệm (STORAGE-3), giao diện người dùng (STORAGE-4), nhật ký hệ thống (STORAGE-5). Tác giả phân tích trường hợp lỗ hổng thực tế của ứng dụng Shopify ghi thông tin nhạy cảm vào nhật ký hệ thống và được trao thưởng 2.000 USD tiền thưởng trên HackerOne. Đề mục mới STORAGE-8 được bổ sung nhằm đánh giá cấu hình mất an toàn của cơ sở dữ liệu thời gian thực Firebase.
• Thuật toán mã hóa (CRYPTO-1 đến CRYPTO-4): Tập trung kiểm thử việc mã hóa cứng khóa bí mật trong mã nguồn, sử dụng chế độ mã hóa không an toàn (ECB), dùng chung khóa mã hóa cho nhiều mục đích và sử dụng bộ sinh số ngẫu nhiên yếu.
• Xác thực và quản lý phiên (AUTH-1 đến AUTH-10): Kiểm tra các lỗi thực thi xác thực tại máy khách thay vì máy chủ từ xa, mã định danh phiên không ngẫu nhiên, cấu trúc token JWT không an toàn, phiên làm việc không bị hủy khi đăng xuất, thiếu cơ chế giới hạn số lần đăng nhập sai và thiếu xác thực đa yếu tố (2FA).
• Giao thức kết nối (NETWORK-1 đến NETWORK-6): Kiểm tra kênh truyền dữ liệu rõ (HTTP), cấu hình chứng chỉ TLS/SSL thiếu an toàn, quy trình xác minh chứng chỉ X.509 và kỹ thuật ghim chứng chỉ số (SSL Pinning). Tác giả cung cấp kịch bản vượt qua cơ chế SSL Pinning bằng cách phối hợp công cụ Burp Suite và Objection.
• Tương tác nền tảng (PLATFORM-1 đến PLATFORM-13): Tách biệt rõ ràng các thành phần giao tiếp liên tiến trình (IPC) của Android thành các mục kiểm thử độc lập bao gồm Activity (PLATFORM-7), Broadcast Receiver (PLATFORM-8) và Service (PLATFORM-9) thay vì gộp chung như tiêu chuẩn cũ; bổ sung kiểm thử chế độ gỡ lỗi từ xa của Webview (PLATFORM-10), thuộc tính cấp quyền truy cập tệp tin mất an toàn (PLATFORM-11), cờ sao lưu dữ liệu ứng dụng allowBackup (PLATFORM-12) và cờ gỡ lỗi debuggable (PLATFORM-13).
• Chất lượng mã nguồn và cấu hình bản phát hành (CODE-1 đến CODE-5): Đánh giá việc ký ứng dụng bằng chứng thư số hợp lệ (sử dụng MobSF để rà quét), kiểm tra việc loại bỏ cờ gỡ lỗi, tệp tin gỡ lỗi nhị phân, thông báo lỗi dài dòng và kiểm tra các thư viện của bên thứ ba chưa được cập nhật bản vá.
• Phương pháp bảo vệ ứng dụng (RESILIENCE): Rà soát các cơ chế tự bảo vệ gồm phát hiện thiết bị đã bị can thiệp quyền quản trị (root), phát hiện môi trường máy ảo giả lập, chống đính kèm trình gỡ lỗi (debugger), kỹ thuật làm rối mã nguồn và tính toàn vẹn của tệp tin thực thi.

Chương 3: Xây dựng công cụ kiểm thử

Chương 3 trình bày chi tiết quy trình phân tích yêu cầu, thiết kế kiến trúc và thử nghiệm công cụ kiểm thử tự động mang tên Firebase Scan. Công cụ ra đời nhằm giải quyết bài toán kiểm thử cấu hình dịch vụ đám mây Firebase Realtime Database - một thành phần phụ trợ (backend) được sử dụng rất phổ biến trong các ứng dụng di động nhưng thường xuyên bị lập trình viên cấu hình sai quy tắc phân quyền (Rules).

Tác giả mô tả chi tiết lưu đồ thuật toán hoạt động của công cụ:

1. Tiếp nhận tham số đầu vào là tệp tin APK của ứng dụng mục tiêu hoặc trực tiếp đường dẫn cơ sở dữ liệu Firebase.
2. Tự động dịch ngược tài nguyên ứng dụng để bóc tách chuỗi URL Firebase kết thúc bằng cú pháp .firebaseio.com hoặc trích xuất từ tài nguyên chuỗi hệ thống.
3. Gửi truy vấn kiểm tra quyền đọc dữ liệu: Nếu máy chủ phản hồi mã trạng thái HTTP 200 kèm nội dung JSON, công cụ xác định tồn tại lỗ hổng mở quyền đọc và tiến hành tải về toàn bộ cấu trúc dữ liệu.
4. Gửi truy vấn kiểm tra quyền ghi dữ liệu: Công cụ đẩy một cấu trúc dữ liệu thử nghiệm lên cơ sở dữ liệu. Nếu phản hồi ghi thành công, công cụ đưa ra cảnh báo nguy cơ toàn bộ dữ liệu có thể bị kẻ tấn công sửa đổi hoặc xóa bỏ hoàn toàn.
5. Hiển thị kết quả đánh giá bảo mật trực quan trên giao diện dòng lệnh và cho phép chuyên viên kiểm thử thao tác tương tác trực tiếp với dữ liệu khai thác.

Kết quả thử nghiệm thực tế cho thấy Firebase Scan hoạt động ổn định, tốc độ rà quét và trích xuất dữ liệu nhanh chóng, khắc phục được sự phụ thuộc vào các thao tác thủ công khi khai thác kiểm chứng lỗ hổng.

Chương 4: Xây dựng lab thử nghiệm

Chương 4 tập trung vào quy trình thiết kế và vận hành ứng dụng PTIT Pentest Lab. Ứng dụng được xây dựng theo kiến trúc hướng module, cung cấp giao diện trực quan hỗ trợ đào tạo thực hành cho sinh viên chuyên ngành An toàn thông tin.

Các module chức năng chính của ứng dụng lab bao gồm:

• Module xác thực và định danh: Quản lý phiên làm việc của người thực hành.
• Module bảng điều khiển (Dashboard): Hiển thị tỷ lệ phần trăm tiến độ đã hoàn thành dựa trên số lượng cờ (flag) chính xác được nộp lên hệ thống.
• Module phân loại bài tập: Liệt kê danh sách các kịch bản lỗ hổng thực tế tương ứng với các nhóm kiểm thử đã đề xuất ở Chương 2 (dịch ngược mã nguồn, lưu trữ dữ liệu không an toàn, phân quyền IPC...).

Tác giả ghi nhận chi tiết quy trình thử nghiệm bài lab dịch ngược số 1 (Reverse 1): Người thực hiện sử dụng bộ công cụ dịch ngược Apktool trên máy tính để bung gói tệp APK thành các tệp tin cấu trúc và mã Smali. Thông qua việc phân tích tệp strings.xml và các lớp xử lý giao diện đăng nhập, người kiểm thử xác định được thông tin tên đăng nhập và mật khẩu của tài khoản quản trị viên (admin) được lưu trữ dưới dạng bản rõ (plaintext). Sử dụng thông tin này đăng nhập thành công vào ứng dụng lab, hệ thống sẽ ghi nhận cờ hoàn thành và cập nhật trạng thái của bài thực hành từ chưa hoàn thành sang hoàn thành trên giao diện quản trị tiến độ.

Chương 5: Kết luận

Chương 5 đúc kết toàn bộ khối lượng nghiên cứu đã hoàn thành trong khuôn khổ đồ án tốt nghiệp, khẳng định việc hoàn thành đầy đủ các mục tiêu đề ra:

• Xây dựng thành công quy trình kiểm thử xâm nhập ứng dụng Android có tính thực tiễn, khắc phục các bất cập của quy trình OWASP MSTG và Oversecured, tích hợp hướng dẫn công cụ cụ thể cho từng hạng mục.
• Chế tạo công cụ Firebase Scan hỗ trợ rà quét và tự động hóa quá trình khai thác lỗ hổng cấu hình cơ sở dữ liệu Firebase.
• Xây dựng ứng dụng PTIT Pentest Lab phục vụ hiệu quả cho công tác học tập, luyện tập kỹ năng kiểm thử bảo mật di động.

Đồng thời, chương này định hình các định hướng phát triển kỹ thuật trong tương lai nhằm nâng cấp công cụ và mở rộng phạm vi bài tập thực hành.

Kết quả và đóng góp

Công trình đồ án đã đạt được những kết quả kỹ thuật cụ thể, được xác thực thông qua các số liệu và sản phẩm thực nghiệm có trong văn bản:

• Hệ thống hóa và chuẩn hóa quy trình kiểm thử xâm nhập Android: Tác giả đã rà soát 8 nhóm yêu cầu với hàng chục tiêu chí kiểm thử của OWASP MSTG, tiến hành loại bỏ các tiêu chuẩn đã lỗi thời do sự thay đổi của hệ điều hành Android (như các hàm bảo mật cũ trên phiên bản Android 4.1 và 4.2), gộp các nội dung kiểm thử lưu trữ dữ liệu bị phân tán, và đặc biệt là tách biệt các thành phần cốt lõi của Android IPC (Activity, Service, Broadcast Receiver) thành các đề mục độc lập (PLATFORM-7, PLATFORM-8, PLATFORM-9) nhằm nâng cao độ chính xác khi đánh giá thực tế.
• Khảo sát định lượng hệ sinh thái kiểm thử di động: Cung cấp bảng đánh giá chi tiết 3 khóa học quốc tế nổi tiếng dựa trên 7 tiêu chí định lượng (MASPT đạt 18/35 điểm, CEH và CMWAPT cùng đạt 14/35 điểm), chỉ ra lỗ hổng lớn của các chương trình đào tạo hiện nay là thiếu tính thực chiến và không cung cấp quy trình kiểm thử áp dụng được vào công việc thực tế. Đồng thời, đồ án đã phân loại và đánh giá hiệu năng thực tế của 11 công cụ kiểm thử di động phổ biến.
• Phát triển thành công công cụ Firebase Scan: Giải quyết trọn vẹn điểm yếu của công cụ phân tích tự động MobSF trong việc kiểm thử dịch vụ đám mây Firebase Realtime Database. Công cụ không chỉ dừng ở việc cảnh báo quyền đọc mà còn tự động kiểm tra quyền ghi và hỗ trợ trích xuất toàn bộ dữ liệu cấu hình sai.
• Triển khai ứng dụng đào tạo PTIT Pentest Lab: Xây dựng thành công ứng dụng thực hành an toàn thông tin chuyên biệt cho sinh viên, tích hợp hệ thống theo dõi tiến độ và kiểm chứng thành công kịch bản tấn công dịch ngược mã nguồn bằng Apktool để khai thác thông tin xác thực quản trị.

Hạn chế và hướng nghiên cứu tiếp

Dựa trên phạm vi và nội dung được trình bày trong văn bản đồ án, các hạn chế và hướng phát triển được xác định như sau:

• Hạn chế về tính năng công cụ kiểm thử: Công cụ Firebase Scan mới chỉ tập trung xử lý tự động hóa đối với một dạng lỗ hổng cấu hình dịch vụ đám mây cụ thể (Firebase Realtime Database), chưa tích hợp cơ chế rà quét và khai thác tự động cho các lớp lỗ hổng giao tiếp nền tảng khác như Webview, Intent injection hay Content Provider.
• Hạn chế về số lượng kịch bản lab: Ứng dụng PTIT Pentest Lab trong phạm vi báo cáo mới chỉ hoàn thiện và thử nghiệm điển hình với bài lab dịch ngược mã nguồn số 1; hệ thống cần tiếp tục xây dựng và tích hợp đầy đủ các kịch bản lỗ hổng còn lại theo danh mục quy trình đã đề xuất.
• Hạn chế về tính tương thích: Các đánh giá kỹ thuật và công cụ nghiên cứu gắn liền với hệ sinh thái Android và các công cụ ghi nhận tại thời điểm tháng 12 năm 2021, chưa đánh giá tác động của các cơ chế bảo mật trên các phiên bản Android mới hơn.
• Hướng nghiên cứu tiếp: Tiếp tục mở rộng tính năng của công cụ Firebase Scan để hỗ trợ kiểm thử thêm các dịch vụ lưu trữ đám mây khác; phát triển hoàn thiện toàn bộ các bài thực hành trên ứng dụng PTIT Pentest Lab bao phủ trọn vẹn các nhóm lỗ hổng trong quy trình kiểm thử; nghiên cứu nâng cấp quy trình và công cụ để thích ứng với các thay đổi bảo mật của các phiên bản hệ điều hành Android tiếp theo.

Giá trị tham khảo

Đồ án tốt nghiệp cung cấp nguồn tài liệu tham khảo kỹ thuật hữu ích cho nhiều nhóm đối tượng trong lĩnh vực công nghệ thông tin và an toàn không gian mạng:

• Sinh viên chuyên ngành An toàn thông tin và Công nghệ thông tin: Tài liệu là tài nguyên học tập giá trị khi cần tiếp cận phương pháp luận kiểm thử thâm nhập di động một cách có hệ thống, khắc phục được sự thiếu hụt về mặt quy trình thực chiến mà các khóa học quốc tế hiện nay chưa giải quyết trọn vẹn.
• Chuyên viên kiểm thử an toàn thông tin (Pentester): Phần bảng đối chiếu quy trình kiểm thử cải tiến tại Chương 2 (với các mã định danh từ STORAGE, CRYPTO, AUTH, NETWORK, PLATFORM đến CODE) cùng danh mục công cụ hỗ trợ kèm theo có thể được sử dụng trực tiếp làm tài liệu kiểm tra (checklist) tiêu chuẩn trong các dự án đánh giá bảo mật ứng dụng Android thực tế.
• Lập trình viên ứng dụng di động Android: Các phân tích chuyên sâu về lỗ hổng rò rỉ dữ liệu qua nhật ký hệ thống (trường hợp ứng dụng Shopify), cấu hình sai Webview (trường hợp Twitter Lite), sai sót trong cấu hình Firebase và phân quyền Service/Broadcast Receiver giúp kỹ sư phần mềm nắm rõ các rủi ro mã nguồn để chủ động thiết kế kiến trúc an toàn ngay từ giai đoạn phát triển ban đầu.

Câu hỏi thường gặp

1. Những bất cập chính của quy trình kiểm thử do tổ chức OWASP đề xuất mà tác giả đã chỉ ra là gì?
Quy trình của OWASP MSTG tuy bao quát nhưng có xu hướng tập trung vào các quy tắc lập trình an toàn thay vì thao tác kiểm thử xâm nhập thực tế; rất ít giới thiệu công cụ kiểm thử đi kèm; nhiều đề mục chưa có hướng dẫn phương pháp tấn công chi tiết; đồng thời tồn tại những yêu cầu kiểm thử không phù hợp với thực tế chung (ví dụ mục MSTG-STORAGE-9 yêu cầu che màn hình ứng dụng khi đa nhiệm thực tế chỉ áp dụng bắt buộc cho tiêu chuẩn thẻ thanh toán PCI).

2. Điểm số đánh giá tổng thể của 3 khóa học bảo mật di động quốc tế (CEH, MASPT, CMWAPT) được phân bổ ra sao?
Qua việc chấm điểm dựa trên 7 tiêu chí (thang điểm từ 1 đến 5 cho mỗi tiêu chí), khóa học MASPT của eLearnSecurity đạt tổng điểm cao nhất là 18/35 điểm (nội dung chuyên sâu nhưng công cụ và bài lab đã cũ). Khóa học CEH của EC-Council đạt 14/35 điểm (giải thích kỹ lý thuyết nhưng nặng tính giới thiệu, thiếu thực hành). Khóa học CMWAPT của Infosec Institute đạt 14/35 điểm (giới thiệu công cụ thực tế tốt nhưng nội dung kiểm thử ứng dụng di động quá sơ sài).

3. Công cụ Firebase Scan do tác giả tự phát triển giải quyết điểm yếu cụ thể nào của công cụ MobSF?
Công cụ phân tích bảo mật tự động MobSF chỉ có khả năng rà quét phát hiện đường dẫn Firebase trong ứng dụng và kiểm tra quyền đọc dữ liệu, hoàn toàn không hỗ trợ kiểm tra quyền ghi dữ liệu cũng như không hỗ trợ trích xuất nội dung cơ sở dữ liệu. Công cụ Firebase Scan khắc phục triệt để các hạn chế này bằng cách tự động hóa cả hai bước: kiểm tra quyền đọc/ghi và tự động kết nối trích xuất toàn bộ dữ liệu JSON hoặc gửi dữ liệu thử nghiệm để chứng minh lỗ hổng.

4. Quy trình thực hiện bài thực hành dịch ngược số 1 trên ứng dụng PTIT Pentest Lab diễn ra như thế nào?
Người kiểm thử sử dụng công cụ Apktool để dịch ngược tệp tin APK của ứng dụng lab về dạng mã nguồn Smali và tệp tài nguyên XML. Bằng cách phân tích tệp strings.xml và mã xử lý logic giao diện, người thực hiện tìm thấy thông tin đăng nhập của tài khoản quản trị viên (admin) được lưu trữ trực tiếp dưới dạng văn bản rõ. Sử dụng tài khoản này đăng nhập thành công vào ứng dụng, hệ thống lab sẽ ghi nhận cờ hoàn thành và cập nhật trạng thái bài tập trên màn hình quản lý tiến độ.

5. Vì sao tác giả kiến nghị loại bỏ các đề mục kiểm tra liên quan đến phiên bản Android 4.1 và 4.2 trong quy trình kiểm thử mới?
Các đề mục như kiểm tra việc sử dụng phương thức addJavascriptInterface trên Android 4.1 trở xuống hoặc kiểm tra lớp sinh số ngẫu nhiên SecureRandom trên Android 4.2 trở xuống đã bị loại bỏ vì trên thực tế các phiên bản hệ điều hành này đã quá cũ, hầu như không còn thiết bị nào trên thị trường hoạt động với các phiên bản này, do đó việc duy trì các tiêu chí kiểm thử đó không còn mang lại giá trị thực tế trong công tác đánh giá an toàn thông tin hiện đại.

Kết luận

Đồ án tốt nghiệp "Kiểm thử xâm nhập ứng dụng Android" của sinh viên Trần Minh Nhật đã giải quyết trọn vẹn khoảng trống giữa lý thuyết tiêu chuẩn và nghiệp vụ an toàn thông tin thực chiến trên nền tảng di động. Bằng việc phân tích sâu sắc các bất cập của các bộ quy trình chuẩn như OWASP MSTG và các chương trình đào tạo quốc tế, tác giả đã đề xuất một khung quy trình kiểm thử cải tiến có tính ứng dụng cao, đồng thời hiện thực hóa giải pháp thông qua công cụ tự động hóa Firebase Scan và ứng dụng thực hành PTIT Pentest Lab. Công trình là tài liệu học thuật và kỹ thuật hoàn chỉnh, phản ánh nghiêm túc quá trình nghiên cứu thực nghiệm và đóng góp thiết thực cho công tác đào tạo cũng như hoạt động đánh giá an toàn thông tin ứng dụng di động.

Trích đoạn nội dung tài liệu

Chương 1: tổng quan MSTG-CRYPTO-6 Tất ca các gid trị ngẫu nhiên được tạo Đã thực hiện tốt bằng cách sử dụng bộ tạo số ngẫu nhiên đủ an toàn. MSTG-AUTH-1 Nếu ứng dụng cung cap cho người dùng quyền truy cập vào một dịch vụ từ xa, một số hình thức xác thực, Đã thực hiện tốt chang hạn như xác thực tên người dùng / mật khẩu, sẽ được thực hiện tại điểm cuối từ xa. MSTG-AUTH-2 Nếu quan lý phiên trang thai được sử dụng, điểm cuối từ xa sử dụng mã định danh phiên được tạo ngẫu nhiên Đã thực hiện tốt để xác thực các yêu cầu của khách hàng mà không cần gửi thông tin đăng nhập của người dùng. MSTG-AUTH-3 Xác thực và quản Can cải tiên lý phiên Nếu xác thực dựa trên mã thông báo Lí do: nội dung và hướng dẫn không trạng thái (JWT), máy chủ kiểm thử đã lỗi thời, không đủ cung cấp mã thông báo đã được ký chỉ tiết bằng thuật toán bảo mật.

MSTG-AUTH-4 Điểm cuối từ xa kết thúc phiên hiện Đã thực hiện tốt tại khi người dùng đăng xuất. MSTG-AUTH-5 Áp dụng chính sách mật khẩu và thực Đã thực hiện tốt thi chính sách này tại điểm cuối từ xa. MSTG-AUTH-6 Điêm cuôi từ xa thực hiện cơ chê đê Đã thực hiện tốt ngăn ngừa việc gửi thông tin xác thực quá nhiêu lân. Tran Minh Nhật - B17DCAT139 Đồ án tốt nghiệp MSTG-AUTH-7 Các phiên bị vô hiệu tại điểm cuối từ xa sau một khoảng thời gian không hoạt động được xác định trước và mã thông báo truy cập hết hạn.

MSTG-AUTH-8 Xác thực sinh trắc học, nếu có, không bị ràng buộc bởi sự kiện (tức là sử dụng một API chỉ trả về "true" hoặc "false"). Thay vào đó, nó dựa trên việc mở khóa chuỗi khóa / kho khóa. MSTG-AUTH-9 Xác thực đa yếu tố (2FA) tồn tại ở điểm cuối từ xa và được thực thi một cách chính xác. MSTG-AUTH-10 Các giao dịch nhạy cảm phải yêu cầu xác thực từng bước.

MSTG-AUTH-II Ứng dụng thông báo cho người dùng về tất cả các hoạt động nhạy cảm với tài khoản của họ. Người dùng có thể xem danh sách các thiết bị, xem thông tin theo ngữ cảnh (địa chi IP, vi trí, v.) và chặn các thiết bị cụ thể. MSTG-AUTH-12 Cơ chế ủy quyền nên được xác định và thực thi ở điểm cuối từ xa. MSTG-NETWORK-1 Giao thức kết nối Dit liệu được mã hóa trên mạng bằng TLS.

Kênh bảo mật được sử dụng nhất quán trong toàn bộ ứng dụng. Trần Minh Nhật — B17DCAT139 10 Đồ án tốt nghiệp MSTG-NETWORK-2 Cài đặt TLS phù hợp với các phương pháp hay nhất hiện tại hoặc càng gần càng tốt nếu hệ điều hành di động không hỗ trợ các tiêu chuân được đề xuất. MSTG-NETWORK-3 Ứng dụng xác minh chứng chỉ X.509 của điểm cuối từ xa khi kênh bảo mật được thiết lập. Chỉ các chứng chỉ do CA đáng tin cậy ký mới được chấp nhận.

MSTG-NETWORK-4 Ứng dụng sử dụng kho lưu trữ chứng chỉ của riêng mình hoặc ghim chứng chỉ điểm cuối hoặc khóa công khai và sau đó không thiết lập kết nối với các điểm cuối cung cấp chứng chỉ hoặc khóa khác, ngay cả khi được ký bởi CA đáng tin cậy. MSTG-NETWORK-5 Ung dung không dựa vào một kênh liên lạc không an toàn (email hoặc SMS) cho các hoạt động quan trọng, chăng hạn như đăng ký và khôi phục tài khoản. MSTG-NETWORK-6 Ứng dụng chỉ sử dụng các thư viện kết nối và thư viện bảo mật được cập nhật bản mới nhật. MSTG-PLATFORM- 1 Tương tác nền tảng Ung dung chỉ yêu cầu bộ quyền tối thiểu cần thiết.

Trần Minh Nhật — B17DCAT139 11 Đồ án tốt nghiệp MSTG-PLATFORM-2 Tất ca các đầu vào từ các nguồn bên ngoài và người dùng đều được kiểm tra, và nếu cần thiết sẽ được làm sạch. Điều này bao gồm dữ liệu nhận được qua giao diện người dùng, các cơ chế IPC như intent, URL tùy chỉnh va nguồn mang. MSTG-PLATFORM-3 Ung dụng không cho phép truy cập các chức năng nhạy cảm qua lược đồ URL tùy chỉnh, trừ khi các cơ chế này được bảo vệ đúng cách. MSTG-PLATFORM-4 Ung dung không cho phép truy cập các chức năng nhạy cảm qua cơ chế IPC, trừ khi các cơ chế này được bảo vệ đúng cách.

MSTG-PLATFORM-5 JavaScript bị tắt trong WebViews trừ khi được yêu cầu rõ ràng. MSTG-PLATFORM-6 WebView được định cấu hình dé chi cho phép bộ xử lý giao thức tối thiểu được yêu cầu (lý tưởng là chỉ https được hỗ trợ). Các trình xử lý tiềm ân nguy hiểm, chăng hạn như tệp, số điện thoại va id ứng dụng, đã bị vô hiệu hóa. Trần Minh Nhật — B17DCAT139 12 Đồ án tốt nghiệp Chương 1: tổng quan MSTG-PLATFORM-7 Nên gộp lại Nếu các phương thức gốc của ứng dụng được hiển thị với WebView, Gộp chung vào MSTG- hãy xác minh rằng WebView chỉ hiển PLATFORM-5 thị JavaScript có trong gói ứng dụng.

MSTG-PLATFORM-8 Quá trình giải mã hóa đôi tượng, nêu Đã thực hiện tốt có, được triên khai băng cách sử dụng các API tuân tự hóa an toàn. MSTG-PLATFORM-9 Ung dung tự bao vệ mình khỏi các cuộc tấn công che phủ màn hình. MSTG-PLATFORM-10 Bộ nhớ cache, bộ nhớ và tài nguyên được tải (JavaScript, v.) cua WebView phải được xóa trước khi WebView bị phá hủy. MSTG-PLATFORM-11 Xác minh rang ứng dụng ngăn việc sử dụng bàn phím tùy chỉnh của bên thứ ba bat cứ khi nào dữ liệu nhạy cảm được nhập.

MSTG-CODE-I Ứng dụng được ký và cấp phép bằng Lí do: nội dung và hướng dẫn chứng chỉ hợp lệ, trong đó khóa bí kiểm thử đã lỗi thời, không đủ mật được bảo vệ đúng cách. chỉ tiết Chất lượng MSTG-CODE-2 mã nguồn Ung dung da duoc dung 6 chế độ và câu hình phát hành, với các cài đặt phù hợp với Đã thực hiện tốt bản phát hành bản phát hành (ví dụ: không thể chạy ở chế độ gỡ lỗi). MSTG-CODE-3 Các dữ liệu gỡ lỗi đã bị xóa khỏi các Đã thực hiện tốt tệp nhị phân gốc. Tran Minh Nhật - B17DCAT139 13 Đồ án tốt nghiệp MSTG-CODE-4 Mã gỡ lỗi và mã hỗ trợ nhà phát triển (ví dụ: mã kiểm tra, cửa sau, cài đặt an) đã bị xóa.

Ứng dụng không ghi lại các lỗi dài dòng, hoặc thông báo gỡ lỗi chỉ tiết. MSTG-CODE-5 Tất cả các thành phần của bên thứ ba được ứng dụng di động sử dụng, chăng hạn như thư viện và dịch vụ, đều được xác định và kiểm tra với các lỗ hồng đã biết. MSTG-CODE-6 Ứng dụng phát hiện và xử lý các trường hợp ngoại lệ có thể xảy ra. MSTG-CODE-7 Mặc định từ chối quyền truy cập khi xảy ra lỗi xử lý logic trong quy trình kiểm soát bảo mật.

MSTG-CODE-8 Bộ nhớ được cấp phat, giải phóng va sử dụng một cách an toàn. MSTG-CODE-9 Các tính năng bảo mật miễn phi được kích hoạt. MSTG-RESILIENCE-I Phương pháp bảo Ứng dụng phát hiện và phản hồi sự vệ ứng dụng hiện diện của thiết bị đã được root bằng cách cảnh báo người dùng hoặc từ chối hoạt động. Trần Minh Nhật — B17DCAT139 14 Đồ án tốt nghiệp Chương 1: tổng quan MSTG-RESILIENCE-2 Ứng dung ngăn chặn việc gỡ lỗi va / hoặc phát hiện và phản hồi với trình gỡ lỗi đang được đính kèm.

Tat cả các giao thức gỡ lỗi có sẵn phải được kiểm tra. MSTG-RESILIENCE-3 Ung dụng phát hiện các tệp thực thi và dữ liệu giả mạo MSTG-RESILIENCE-4 Ung dung phát hiện và phản hồi sự hiện diện của các công cụ dịch ngược phô biến được cài đặt trên thiết bị. MSTG-RESILIENCE-5 Ứng dụng phát hiện và phản hồi khi được chạy trong trình giả lập. MSTG-RESILIENCE-6 Ung dung phát hiện và phan hồi với mã nguồn và dữ liệu giả mạo trong không gian bộ nhớ của chính nó.

MSTG-RESILIENCE-7 Ung dung thuc hién nhiều co chế với mỗi loại phòng thủ. Trần Minh Nhật — B17DCAT139 15 Đồ án tốt nghiệp Chương 1: tổng quan MSTG-RESILIENCE-8 Các cơ chế phát hiện kích hoạt các phản hồi thuộc nhiều loại khác nhau, bao gồm cả các phản hồi chậm va phản hồi ngầm. MSTG-RESILIENCE-9 Kỹ thuật làm rối mã nguồn được áp dụng. MSTG-RESILIENCE- 10 Ung dụng triển khai chức năng 'ràng buộc thiết bi’ bằng cách sử dụng mã định danh thiết bị tạo thành từ nhiều thuộc tính đặc trưng duy nhất của thiết bị.

MSTG-RESILIENCE-II Tat cả các tệp và thư viện thực thi thuộc ứng dụng đều được mã hóa ở cấp độ tệp; và mã nguồn cùng với những dữ liệu quan trọng bên trong tệp thực thi được mã hóa hoặc đóng gói. Kỹ thuật phân tích tinh bình thường không làm lộ mã nguồn hoặc dữ liệu quan trọng. MSTG-RESILIENCE- 12 Nên gộp lại Sử dụng kỹ thuật lam roi mã nguôn Gộp với MSTG- đủ an toàn đê bảo vệ mã nguôn trước RESILIENCE-9 các kỹ thuật gỡ rối mã nguồn. MSTG-RESILIENCE-13 Bên cạnh việc đảm bảo đường truyền dữ liệu an toàn, có thể áp dụng thêm phương pháp mã hóa tải trọng để ngăn chặn thêm việc nghe trộm.

Tran Minh Nhật - B17DCAT139 16 Đồ án tốt nghiệp Chương 1: tổng quan Một số đề mục chưa được trình bày tốt trong quy trình kiểm thử do tổ chức OWASP dé xuất có nội dung như sau: - MSTG-STORAGE-9 (được đánh giá khó khăn, không thích hợp khi áp dụng) yêu cầu ứng dụng Android phải che đi nội dung của ứng dụng khi duyệt ở chế độ đa nhiệm dé tránh lộ các dữ liệu nhạy cảm. Tuy nhiên, như đã trình bày ở bảng đánh giá trên, việc này thực tế chỉ cần áp dụng nếu ứng dụng tuân theo tiêu chuẩn PCI [5]. FLAG_SECURE not set FLAG_SECURE set Email Email Email account Email account OMTG-DATAST-008 This application contains sentive datal Username: litsnarf Password: OW***+** Hình 1.1: nội dung MSTG-STORAGE-9 - MSTG-PLATFORM-5 (được đánh giá cần cải tiến) chi đưa ra phương hướng kiểm tra như sử dung các playload kiểm tra lỗ hổng XSS, chứ không đề cập tới payload như nào, trong khi payload kiểm tra lỗ héng XSS trên Webview khác so với trên ứng dụng Web thông thường. Dynamic Analysis Dynamic Analysis depends on operating conditions.

There are several ways to inject JavaScript into an app's WebView: Stored Cross-Site Scripting vulnerabilities in an endpoint; the exploit will be sent to the mobile app's WebView when the user navigates to the vulnerable function. ¢ Attacker takes a man-in-the-middle (MITM) position and tampers with the response by injecting JavaScript. ¢ Malware tampering with local files that are loaded by the WebView. To address these attack vectors, check the following: ® All functions offered by the endpoint should be free of ¢ The HTTPS communication must be implemented according to best practices to avoid MITM attacks.

This means: all communication is encrypted via TLS (see test case “Testing for Unencrypted Sensitive Data on the Network"), the certificate is checked properly (see test case “Testing Endpoint Identify Verification"), and/or the certificate should be pinned (see “Testing Custom Certificate Stores and SSL Pinning").2: nội dung MSTG-PLATFORM-5 Tran Minh Nhật - B17DCAT139 17 Đồ án tốt nghiệp Chương 1: tổng quan Kết quả phân tích và đánh giá quy trình kiểm thử được sử dụng bởi công ty Oversecured như sau: Bảng 1.