PracticU

התקנה של APK - InsecureBank v2

בלי כתוביותעם כתוביות
PracticU › קורס סייבר והאקינג ל-Android - פריצה לטלפונים ואפליקציות אנדרואיד - בודק חוסן - Mobile App Pentesting › התקנה של APK - InsecureBank v2
מילון מושגים:
GitHub - שירות ענן לאחסון מאגרי קוד מבוססי Git, המאפשר שיתוף פעולה, מעקב גרסאות וניהול פרויקטים.
שורת פקודה - ממשק טקסטואלי שבו מקלידים פקודות למערכת ההפעלה ומקבלים תגובה בטקסט, במקום להשתמש בעכבר.
צד שרת - החלק של היישום שרץ בשרת ואחראי על הלוגיקה, מסדי הנתונים והעיבוד שמאחורי הקלעים.
Android - מערכת הפעלה מבוססת Linux לטלפונים ולמכשירים ניידים, שפותחה על ידי גוגל.
דיבאג - תהליך של איתור, הבנה ותיקון תקלות בקוד, לעיתים בעזרת כלי שמאפשר לעצור ולעקוב אחר ריצת התוכנית.
נתיב - מחרוזת שמתארת את מיקומו של קובץ או תיקייה במערכת הקבצים, או כתובת של משאב בתוך אתר.
CMD - שורת הפקודה הקלאסית של Windows (Command Prompt), להרצת פקודות ותוכניות בממשק טקסטואלי.
TCP - פרוטוקול תקשורת אמין שמוודא שכל חבילות המידע מגיעות ליעד בשלמות ובסדר הנכון.
התקנה של APK - InsecureBank v2
בשיעור זה נתקין על הטלפון הווירטואלי את אפליקציית הבנק הפרוצה בכוונה, InsecureBank v2, שהורדנו מ GitHub, ונכיר את שתי הדרכים להתקנת אפליקציה, גרירה ישירה אל המכשיר והתקנה בעזרת שורת הפקודה עם הכלי ADB, שילווה אותנו לאורך כל הפרק.
נושאי הסיכום המוצגים בשיעור:
1. הורדת ה APK: בפרויקט ה GitHub של InsecureBank ישנם שני צדדים, צד שרת וצד אנדרואיד. לעת עתה מורידים רק את קובץ ה APK של הצד של אנדרואיד, ואת צד השרת יתקינו בשיעור מאוחר יותר.
2. התקנה בגרירה: השיטה הפשוטה ביותר היא גרירת קובץ ה APK מתוך תיקיית ההורדות והשלכתו אל חלון המכונה הווירטואלית, והמערכת מתקינה אותה מיד. האפליקציה מופיעה ועולה, ובחלקה העליון נראים שלושה כפתורים, ביניהם העדפות שבהן יגדירו מאוחר יותר את כתובת השרת שטרם הותקן.
3. הסרת אפליקציה: את ההסרה עושים על ידי גרירת הסמל כלפי מעלה אל אזור ההסרה, או בלחיצה ארוכה על הסמל ובחירת מידע על האפליקציה ושם הסרה, ובשתי הדרכים נדרש אישור.
4. הכלי ADB: הדרך השנייה להתקין היא דרך שורת הפקודה, שתהיה הכלי המרכזי שלנו לאורך הפרק. התוכנה נקראת ADB, Android Debug Bridge, גשר האיתור של אנדרואיד, וקובץ ה exe שלה נמצא בתוך תיקיית ההתקנה של Genymotion, מכיוון שהוא חלק מההתקנה שלה.
5. הוספה אל ה PATH: כדי שלא יהיה צורך להקליד בכל פעם את הנתיב המלא של adb.exe בגרשיים, מוסיפים את תיקיית הכלי אל משתני הסביבה של ווינדוס, לתוך ה PATH, שהוא רשימת המקומות שבהם מחפשים פקודות. ישנו PATH למשתמש ספציפי ו PATH לכל המערכת עבור כל המשתמשים, ולצורך העניין אין חשיבות ממשית לבחירה ביניהם. אחרי ההוספה נפתח CMD חדש, כי CMD ישן אינו יודע על השינוי, והפקודה adb devices עובדת מכל מקום ומציגה את המכשיר המחובר.
6. יכולות ה ADB: השם debug מתייחס ליכולת לעבור שורה שורה בקוד. בעזרת הכלי אפשר להתחבר אל מכשיר גם דרך TCP IP מרחוק בלי להיות מחובר אליו פיזית, להעביר קבצים בשתי הכיוונים, push דוחף קבצים אל המכשיר ו pull מושך ממנו, לפתוח שורת פקודה בתוך המכשיר עצמו ולהריץ בה פקודות, וכמובן להתקין עליו תוכנות בעזרת adb install.
7. התקנה בעזרת ADB: נכנסים ב CMD אל תיקיית ההורדות, מריצים adb devices כדי לוודא שהמכשיר מחובר, ואז adb install עם שם קובץ ה APK, והמערכת מדווחת על הצלחה. האפליקציה מופיעה במכשיר ואפשר להפעיל אותה, לעבור בין אפליקציות בלחיצה על הריבוע ולסגור אותה במשיכה כלפי מעלה מתוך מסך האפליקציות הפתוחות, בדיוק כמו בטלפון אמיתי.
8. הסרה דרך המכשיר: אחרי בדיקת ההתקנה וההסרה דרך ממשק המכשיר, מריצים שוב את adb install והאפליקציה חוזרת להופיע, שהרי הפקודה מתקינה אותה מחדש בכל ריצה.
9. המשך הדרך: ראינו כיצד מתקינים את האפליקציה בשתי הדרכים, ומכאן מתחילים לחקור אותה, להבין כיצד היא נפרצת וכיצד עוקפים אותה. בשיעור הבא נעסוק בנושא הסבר על JADX.
בשיעור זה הורדנו את קובץ ה APK של InsecureBank v2 מ GitHub, התקנו אותו על הטלפון הווירטואלי בגרירה ובשורת פקודה, הכרנו את הכלי ADB ויכולותיו, הוספנו את תיקייתו אל ה PATH וביצענו התקנה והסרה של האפליקציה בשתי השיטות. בשיעור הבא נעסוק בנושא הסבר על JADX.
SR12577HE

פרקי ההרצאה: התקנה של APK - InsecureBank v2

  1. 00:00

    הורדת ה-APK מ-GitHub

  2. 00:37

    התקנה בגרירה לטלפון

  3. 01:13

    הסרת האפליקציה מהטלפון

  4. 01:47

    הכרת הכלי ADB

  5. 02:25

    בדיקת התקני ADB

  6. 03:01

    הוספת ADB לנתיב PATH

תמלול ההרצאה: התקנה של APK - InsecureBank v2

הטקסט המלא של הדקות הראשונות בהרצאה «התקנה של APK - InsecureBank v2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם, הגיע הזמן להתקין על הטלפון שלנו את האפליקציה של הבנק ולפרוץ אותה. בואו נתקין אינסיקיור בנק מתוך גיטאב. אנחנו נכנסים, יש פה צד שרת וצד APK, צד של אנדרואיד.

  2. 00:19

    אנחנו עכשיו נוריד רק את ה-APK, את הצד של השרת נתקין אחרי זה. אז אני לוחץ על זה, קובץ APK, ועושה לו דאונלוד. הנה הוא יורד לי.

  3. 00:28

    אני עושה שואו אין פולדר, ויראה לי את זה בדאונלודס פה. איך אני מתקין אותו? השיטה הכי הכי פשוטה זה פשוט לגרור אותו לכאן.

  4. 00:40

    לקחת ולגרור אותו. זאת שיטה ראשונה, אני גורר אותו. בואו נראה שזה יעבוד. הנה, InSecure Bank B2. אני רואה שהוא נתקע קצת, אני עושה לו wait, תחכה לזה.

  5. 00:53

    הנה האפליקציה עובדת. שימו לב, יש פה באפליקציה למעלה שלושה כפתורים preferences, ואני יכול להגיד לו איפה השרת שעוד לא התקנו אותו.

  6. 01:02

    יפה, זאת השיטה הראשונה להתקין אפליקציה. השיטה השנייה להתקין אפליקציה זה דרך CMD. אנחנו לוקחים את ה-Insecure בנק הזה, גוררים אותו למעלה ל-uninstall. Do you want to uninstall this app?

  7. 01:19

    אני עושה לו אוקיי, והוא עשה לי uninstall. איך מתקינים את זה דרך CMD? למה? כי אנחנו נצטרך הרבה פעמים לעשות דברים ב-CMD, זה הולך להיות הכלי המרכזי שלנו, אנחנו עושים CMD, ומשתמשים בתוכנה שנקראת ADB. ADB זה אנדרואיד ברידג'.

  8. 01:39

    דיר, ADB, כוכבית נקודה כוכבית, סלאש S. הנה, הנה, הנה, היינו צריכים להיכנס לתיקייה של ג'ני מושן, לתוך התיקייה של ג'ני מושן, כדי למצוא את ה-ADB.exe, אוקיי?

  9. 01:55

    עוד פעם אני מראה לכם, ADB.exe, סלאש S. אתם רואים? זאת הפקודה. בואו נעשה CLS, adb.exe/s ואנחנו רואים שזה בתיקיית ג'ני מושן זה חלק מהתקנה אין לי כוח כל פעם להיכנס לשם ולעשות adb.exe לשים את זה בגרשיים לעשות רווח devices זה רווח היה נכון שזה לא נוח לעשות את כל הדבר הזה ככה הנה list of attached

  10. 02:25

    device זה עובד במקום לעשות את כל זה כל פעם אני אקח את הנתיב הזה ואני אכניס אותו למשתני סביבה שלי יש לי פה בסטינגס environment variables משתני סביבה ואנחנו מחפשים ב-environment variables משתני סביבה שנקרא path, path זה איפה לחפש, שימו לב יש path רק למשתמש אחד ויש path לכל

  11. 02:53

    הסיסטם, לכל הווינדוס, לא משנה איזה יוזר, זה ברמת ווינדוס שלם לכל היוזרים, זה ברמת יוזר ספציפי, זה לא באמת משנה אם זה לכל הווינדוס או ליוזר ספציפי, אני עושה edit, עושה ניו ומוסיף פה את הטובת הזאת, את איפה לחפש אותו, עושה אוקיי,

  12. 03:12

    למטה יש לי גם אוקיי. בואו נבדוק שזה באמת עובד, פותחים CMD חדש, כותבים ADB Devices.

לקורס המלא: קורס האקינג לאנדרואיד אונליין

ההרצאה הקודמת: סוגי פריצות לטלפון

ההרצאה הבאה: הסבר על JADX

הרצאות קשורות מקורסים אחרים

  • Generate Signed APK
  • התקנה
  • התקנה של DC
  • התקנה של GIT

קורסים נוספים במסלול

  • קורס SOC - מיישם הגנת סייבר
  • קורס סייבר למתחילים - Hacking - בדיקות חוסן תשתיתי ופריצה ל-Windows 10/11 - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לתשתית ארגונית - בדיקות חוסן מתקדמות ל-Active Directory - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP
  • קורס פריצה ומבדקי חדירה לאתרי אינטרנט - בדיקות חוסן לאתרים - Web Pentesting - קורס זה נדרש למבחן ההסמכה היוקרתי OSCP