Static Analysis Aplikasi Android Menggunakan MobSF

Dipublikasikan: 2021-02-23 · oleh Problem Child · Label: Security, Android

Static Analysis Aplikasi Android Menggunakan MobSF. Dalam pentesting, static analysis adalah sebuah aktifitas dimana kita menganalisa kode dari aplikasi tanpa mengeksekusi kode tersebut. Static analysis biasanya digunakan untuk menemukan sebuah kesalahan atau bug dari aplikasi. Nah, untuk melakukan static analysis pada aplikasi Android salahsatu tool yang cukup populer digunakan adalah MobSF.

Apa itu MobSF?

Dari halaman GitHubnya, berikut deskripsi dari MobSF.

Mobile Security Framework (MobSF) is an automated, all-in-one mobile application (Android/iOS/Windows) pen-testing, malware analysis and security assessment framework capable of performing static and dynamic analysis. MobSF support mobile app binaries (APK, XAPK, IPA & APPX) along with zipped source code and provides REST APIs for seamless integration with your CI/CD or DevSecOps pipeline.The Dynamic Analyzer helps you to perform runtime security assessment and interactive instrumented testing.

Untuk proses instalasinya sendiri cukup mudah. Kalian bisa install MobSF di host dengan command:

git clone https://github.com/MobSF/Mobile-Security-Framework-MobSF.git

cd Mobile-Security-Framework-MobSF

./setup.sh

Namun, karena saya hanya membutuhkan fitur static analysis dari MobSF, saya lebih memilih untuk menginstallnya menggunakan Docker.

Pastikan kalian sudah menginstall Docker maupun Docker Compose.

Buat file docker-compose.yml dengan isi berikut:

version: "3"
services:
  web:
    image: opensecurity/mobile-security-framework-mobsf:latest
    container_name: <b>mobsf-linuxsec</b>
    hostname: mobsf-linuxsec
    deploy:
      replicas: 1
      restart_policy:
        condition: on-failure
    ports:
      - "127.0.0.1:8000:8000"
    networks:
      - webnet
    volumes:
      - ./MobSF/mobsf_data:/root/.MobSF
    logging:
        driver: "json-file"
        options:
            max-file: "5"
            max-size: "10m"
networks:
  webnet:

Sesuaikan sendiri apa yang ingin disesuaikan. Jika sudah oke, tinggal deploy dengan command

docker-compose up -d

Selanjutnya tinggal akses 127.0.0.1:8000 dan upload file APK yang ingin diaudit.

Untuk melihat log console nya, kalian bisa gunakan command docker logs.

docker logs -f mobsf-linuxsec

Sesuaikan sendiri nama containernya.

Berikut contoh output hasil static analysis menggunakan MobSF.

Oke mungkin sekian sharing kali ini, semoga bermanfaat. Jika ada yang ingin ditanyakan silahkan tinggalkan komentar.