안드로이드 앱 취약점 진단(쉽게 배우는)(보안컨설팅 시리즈)

이번 책에서는 안드로이드 앱 취약점 분석이라는 주제를 가지고, 보안컨설팅 업무에 포함되고 있는 안드로이드 앱 취약점 분석을 수행할 수 있는 기술배양을 목적으로 하고 있다.



이 책의 대상독자

- 안드로이드 앱 취약점 분석에 입문하는 보안 초보자

- 안드로이드 모의해킹 기술을 향상시키려는 보안컨설턴트

- 안드로이드 개발 시 시큐어코딩을 적용하려는 개발자



이 책의 내용 및 특징

- 안드로이드 앱 취약점 분석에 필요한 기본지식 제공

- 점검기준에 따른 안드로이드 앱 취약점 분석 방법 제공

- 안드로이드 앱 취약점 유형별 모의해킹 실습 제공

1. 안드로이드 개념

1.1 안드로이드 애플리케이션 구성요소



1.2 안드로이드 파일시스템 구성



1.3 프로젝트 파일구성

1.3.1 Eclipse(이클립스) 기반

1.3.2 Android Studio(안드로드이 스튜디오) 기반



2. 안드로이드 앱 취약점 점검기준

2.1 금보원(금융보안연구원)의 스마트폰 전자금융서비스 보안가이드



2.2 행정자치부 모바일 대민서비스 보안가이드



2.3 미래창조과학부 모바일 오피스 정보보호 안내서



2.4 기타 보안컨설팅 업체 점검기준



2.5 모바일 OWASP TOP 10 기준



3. 안드로이드 앱 취약점 점검사례 배우기

3.1 점검 애뮬레이터 준비하기

3.1.1 Android Studio기반 애뮬레이터 점검환경구축

3.1.2 adb(Android Debug Bridge)

3.1.3 이클립스 기반 점검환경구축

3.1.4 실 디바이스(스마트폰) 점검환경구축



3.2 컴포넌트(Activity) 악용사례

3.2.1 Activity 개념

3.2.2 APK Tool 설치 및 사용법

3.2.3 Activity 악용사례 실습

3.2.4 Activity 악용 대응방안



3.3 컴포넌트(Content Provider) 악용사례

3.3.1 Content Provider 개념

3.3.2 Content Provider 악용사례 실습

3.3.3 Content Provider 악용 대응방안



3.4 SQL Injection 사례

3.4.1 안드로이드 데이터접근 취약사례

3.4.2 SQL Injection 실습



3.5 악의적인 애플리케이션(악성코드) 분석

3.5.1 악성코드 분석방법

3.5.2 AndroidManifest.xml 파일구조 및 권한

3.5.3 악성코드 온라인 점검



3.6 컴포넌트(Broadcast Receiver) 악용사례

3.6.1 Broadcast Receiver 개념

3.6.2 Intent 개념

3.6.3 Broadcast Receiver 악용사례 실습

3.6.4 Broadcast Receiver 악용 대응방안



3.7 정보노출 악용사례

3.7.1 정보노출 종류 및 악용사례 실습

3.7.2 SharedPreference 에 의한 정보노출 대응방안



3.8 WebView 악용사례

3.8.1 WebView 개념

3.8.2 WebView 구현

3.8.3 WebView 취약점

3.8.4 WebView 악용사례 살펴보기

3.8.5 WebView 악용 대응방안



3.9 루팅 디바이스 탐지 및 우회기법

3.9.1 루팅 개념

3.9.2 루팅 방법

3.9.3 루팅 탐지기법들

3.9.4 루팅 탐지 및 우회사례 실습



3.10 API 후킹을 통한 보안점검

3.10.1 API 개념

3.10.2 후킹 개념

3.10.3 Introspy 설치

3.10.4 타 앱분석결과 샘플



3.11 백업파일 변조 및 복원

3.11.1 백업 개념

3.11.2 백업 실습(1)

3.11.3 백업 실습(2)

3.11.4 백업파일 변조 및 복원 실습

3.11.5 백업파일 변조 및 복원 대응방안



3.12 취약한 암호화 방식

3.12.1 취약한 암호화 개념

3.12.2 취약한 암호화 방식 악용사례 실습



3.13 안드로이드 코드패칭을 통한 앱변조

3.13.1 앱 변조 실습

3.13.2 안드로이드 동적디버깅 실습

3.13.3 안드로이드 동적디버깅 대응방안



3.14 중요데이터 평문전송

3.14.1 진단방법

3.14.2 진단방법 구축



4. 안드로이드 앱 취약점 분석 모의실습

4.1 모의 앱 취약점 분석(1)

4.1.1 중요데이터 평문전송

4.1.2 파라미터 변조



4.2 모의앱(2) 실습

4.2.1 파라미터 변조

4.2.2 안전하지 않은 중요정보저장(1)

4.2.3 안전하지 않은 중요정보저장(2)

4.2.4 인증우회

최경철 저자 최경철은 트리니티소프트에서 보안 소프트웨어 개발을 담당하며, 현재 보안초보스터디(caf?.naver.com./sec)에서 운영자로 활동 중이다. 주요 관심분야로는 취약점 분석 툴의 패턴과 탐지근거에 대한 조사 및 개발이며, 관련된 연구를 LNCS 등의 학술지에 논문 등으로도 발표하였으며, 관련 저서로는 "웹 보안", "웹 해킹과 방어", "시스템해킹의 원리와 이해", "네트워크 패킷 포렌식", "웹 모의해킹 및 시큐어코딩 진단가이드" 가 있다.