pentest-mobile-app

モバイルアプリのペンテスト

目的

モバイルアプリは、Shannon（Web 専用）にも、既存のすべてのスキルにも含まれていません。モバイルアプリはバックエンド API を共有していることが多い一方、ローカルストレージ、ピンニング、インテント処理、バイナリ保護など、独自の攻撃対象領域があります。

前提条件

認可要件

• モバイルアプリのテスト範囲を定めた書面による認可
• APK/IPA ファイル、またはアプリストアからダウンロードできる環境
• テスト端末またはエミュレーター（root 化した Android、脱獄した iOS が望ましい）
• 利用可能な場合はバックエンド API のドキュメント

環境のセットアップ

• 実行時インストルメンテーション用の Frida
• 手軽なモバイルセキュリティテスト用の Objection
• 自動静的／動的解析用の MobSF
• Android の逆コンパイル用の jadx、iOS 用の Hopper
• モバイルプロキシとして設定した Burp Suite

基本的なワークフロー

1. 静的解析：APK/IPA を逆コンパイルし、ハードコードされたシークレット、安全でないストレージの使用パターン、脆弱な暗号化、エクスポートされたコンポーネント、デバッグフラグを分析します。
2. 安全でないデータ保存：SharedPreferences/Keychain に機密データがないか、SQLite データベース、ログファイル、クリップボードへの露出、バックアップの抽出を確認します。
3. 証明書ピンニングのバイパス：Frida/Objection を使用してピンニングを無効化し、HTTPS トラフィックを傍受し、HTTP へのフォールバックをテストします。
4. モバイルでの認証とセッション：トークンストレージのセキュリティ、生体認証のバイパス、セッションタイムアウト、ディープリンクによる認証バイパスを確認します。
5. IPC テスト：エクスポートされた Activity/Service/BroadcastReceiver（Android）、URL スキームのハイジャック（iOS）、インテントインジェクション、カスタム URI ハンドラーの悪用を確認します。
6. バイナリ保護：root 化／脱獄の検知や改ざん防止のバイパス、コード難読化の評価、Frida による実行時操作を確認します。
7. モバイルコンテキストでの API テスト：モバイルクライアント側の検証を信頼する API、デバイス ID の偽装、プッシュ通知トークンの悪用を確認します。

ツールのカテゴリ

カテゴリ	ツール	目的
実行時インストルメンテーション	Frida, Objection	関数のフック、保護のバイパス
静的解析	MobSF, jadx, Hopper	バイナリの逆コンパイルと解析
トラフィック傍受	Burp Suite, mitmproxy	ピンニングをバイパスした HTTPS 傍受
Android テスト	adb, drozer	コンポーネントテスト、IPC 解析
iOS テスト	Objection, cycript	実行時操作、キーチェーンのダンプ

参考資料

• references/tools.md - ツールの関数シグネチャとパラメーター
• references/workflows.md - 攻撃パターンの定義とテストベクトル