Ngày nay, chúng ta sống cùng với hàng ngàn ứng dụng trên điện thoại di động, nhưng ít người thực sự biết cách sử dụng chúng. Cụ thể thì mỗi ứng dụng Android thực hiện những chức năng gì bên trong?Ứng dụng đó sử dụng những quyền hạn nào, hoặc ảnh hưởng đến hiệu năng và bảo mật của thiết bị ra sao? Đối với các nhà phát triển, chuyên gia kiểm định bảo mật và đội ngũ tiếp thị, việc hiểu và phân tích ứng dụng Android không còn là điều tùy chọn nữa: đó là yếu tố then chốt để tạo ra các sản phẩm đáng tin cậy, nhanh chóng và hiệu quả. tôn trọng sự riêng tư.
Trong bài viết này, bạn sẽ tìm thấy tổng quan đầy đủ về Phân tích ứng dụng Android từ nhiều góc độCác công cụ để kiểm tra APK và ứng dụng đã cài đặt, các tiện ích phát triển như Android Studio APK Analyzer, các khung kiểm toán như Inspeckage, các phương pháp bảo mật như OWASP MAS, và tổng quan toàn diện về các nền tảng phân tích di động chính (Firebase, Contentsquare, Mixpanel, Countly, Localytics, RevenueCat, AppDynamics và AppsFlyer). Tất cả được giải thích bằng tiếng Tây Ban Nha (Tây Ban Nha), với giọng văn thân thiện nhưng vẫn đảm bảo tính chính xác về mặt kỹ thuật.
Phân tích ứng dụng Android là gì và nó được sử dụng để làm gì?
Khi nói về việc phân tích ứng dụng Android, chúng ta có thể đề cập đến cả hai khía cạnh. Phân tích kỹ thuật tệp APK (quyền hạn, mã nguồn, tệp kê khai, dịch vụ, v.v.) cũng như nghiên cứu các chỉ số sử dụng, hành vi người dùng, hiệu suất, lỗi, hoặc thậm chí cả gian lận quảng cáo. Đó là hai thế giới riêng biệt nhưng bổ sung cho nhau: khía cạnh kỹ thuật đảm bảo ứng dụng an toàn và mạnh mẽ; khía cạnh phân tích sản phẩm cho phép bạn hiểu liệu ứng dụng đó có đáp ứng được các mục tiêu kinh doanh hay không.
Về mặt kỹ thuật, phân tích có thể được chia thành các phần sau: phân tích tĩnh và phân tích độngGiám sát tĩnh nghiên cứu tệp APK hoặc mã nguồn mà không cần thực thi (phân tích ngược mã, phân tích quyền, xem xét tệp AndroidManifest.xml, v.v.). Giám sát động quan sát hành vi của ứng dụng trong khi nó đang chạy, ghi nhật ký lưu lượng mạng, các cuộc gọi đến các API nhạy cảm, việc sử dụng mã hóa hoặc việc tạo tệp.
Trong lĩnh vực trải nghiệm người dùng và phân tích kinh doanh, trọng tâm là Hiểu cách mọi người sử dụng ứng dụng, họ gặp khó khăn ở đâu và tại sao họ chuyển đổi hoặc bỏ ứng dụng.Đây là lúc các hệ thống theo dõi sự kiện, bản đồ nhiệt, ghi lại phiên truy cập, bảng điều khiển doanh thu, phễu chuyển đổi và các công cụ tiếp thị di động phát huy tác dụng.
Công cụ để phân tích APK và ứng dụng đã cài đặt
Để bắt đầu hiểu cách một ứng dụng Android hoạt động bên trong, có những tiện ích chuyên dụng cho phép bạn... Kiểm tra các tệp APK đã cài đặt hoặc các tệp .apk đã lưu trữ. Trên thiết bị. Các công cụ này hiển thị mọi thứ, từ dữ liệu cơ bản (tên, phiên bản, kích thước) đến các chi tiết rất nhỏ như quyền truy cập, dịch vụ chạy ngầm hoặc chữ ký số.
Một trong những ứng dụng phổ biến nhất trong lĩnh vực này là một trình phân tích APK mã nguồn mở, tự hào với những ưu điểm sau: Ứng dụng phân tích APK được tải xuống nhiều nhất trên Google PlayCông cụ này cho phép bạn tạo một báo cáo rất đầy đủ về cả các ứng dụng đã được cài đặt và các tệp .apk chưa được cài đặt, rất hữu ích để kiểm tra một ứng dụng trước khi cấp quyền truy cập cho thiết bị.
Báo cáo điển hình bao gồm các thông tin như sau: Tên ứng dụng, phiên bản, phiên bản Android tối thiểu và mục tiêuThông tin bao gồm ngày cài đặt và cập nhật, dữ liệu chứng chỉ và chữ ký, quyền được sử dụng (kèm mô tả), các hoạt động, dịch vụ, bộ thu phát sóng và nhà cung cấp nội dung. Nó cũng nêu chi tiết các yêu cầu phần cứng (bắt buộc và tùy chọn) và cung cấp phiên bản đầy đủ của tệp AndroidManifest.xml với tùy chọn lưu tệp ở định dạng dễ đọc.
Một chức năng quan trọng khác là khả năng trích xuất tệp APK của ứng dụng đã cài đặt và lưu vào bộ nhớ của thiết bị, cũng như xuất biểu tượng. Điều này hữu ích cho việc kiểm toán, tạo bản sao lưu, thử nghiệm trong môi trường biệt lập hoặc đơn giản là xem lại một phiên bản cụ thể trước khi cập nhật.
Loại máy phân tích này thường cũng bao gồm các phần cụ thể dành cho quyền hạn và số liệu thống kê tổng hợpMột mặt, nó cho phép bạn liệt kê tất cả các quyền mà các ứng dụng trên thiết bị yêu cầu, xem ứng dụng nào đang yêu cầu từng quyền, xem mô tả và mức độ bảo vệ, và dễ dàng xác định các ứng dụng có nhiều quyền nhất. Mặt khác, nó cung cấp số liệu thống kê về bộ sưu tập ứng dụng đã cài đặt: phân bố phiên bản Android mục tiêu, loại chữ ký, số lượng hoạt động hoặc quyền trung bình trên mỗi ứng dụng, v.v.
Công cụ Android Studio APK Analyzer và apkanalyzer
Đối với những người phát triển ứng dụng bằng Android Studio, nền tảng của Google tích hợp sẵn một số tính năng. Công cụ phân tích APK mạnh mẽ được tích hợp vào môi trường phát triển.Công cụ này có thể được mở bằng cách kéo tệp APK hoặc App Bundle vào cửa sổ trình chỉnh sửa, nhấp đúp vào tệp APK trong thư mục build hoặc từ menu Build trong tùy chọn "Analyze APK". Nó cũng có một phiên bản dòng lệnh được gọi là apkanalyzer.
APK Analyzer cho phép bạn khám phá nội dung của tệp theo cấu trúc phân cấp, về mặt cấu trúc bên trong tương tự như một... Tệp ZIP chứa các thư mục và tệp được sắp xếp gọn gàng.Mỗi thực thể (thư mục hoặc tệp) hiển thị kích thước tệp thô và ước tính kích thước tải xuống đã nén do Google Play cung cấp, cùng với tỷ lệ phần trăm mà nó chiếm trong tổng kích thước. Điều này giúp nhanh chóng xác định tài nguyên, thư viện hoặc tệp DEX nào đang chiếm nhiều dung lượng nhất.
Một điểm rất thú vị là cách thức hoạt động của APK Analyzer. Xây dựng lại tệp AndroidManifest.xml cuối cùng.Trong các dự án có nhiều biến thể sản phẩm hoặc thư viện với các tệp kê khai riêng, tất cả các tệp đó được kết hợp thành một tệp duy nhất trong quá trình biên dịch. Tệp APK vẫn ở định dạng nhị phân, nhưng trình phân tích cú pháp sẽ chuyển đổi nó trở lại thành XML dễ đọc, hiển thị chính xác tệp kê khai mà hệ thống sẽ thấy trên thiết bị và giúp dễ dàng phát hiện các thay đổi do quá trình xây dựng gây ra.
Trình xem bản tuyên ngôn này cũng tích hợp khả năng lintChức năng này sẽ cảnh báo bạn về các lỗi và cảnh báo, chẳng hạn như các lược đồ XML không được nhận dạng. Một số cảnh báo (ví dụ: những cảnh báo về các lược đồ chưa được đăng ký) có thể bỏ qua một cách an toàn và có thể được tắt bằng cách thêm lược đồ đó vào danh sách bỏ qua trong tùy chọn của Android Studio.
Một thành phần cơ bản khác của APK Analyzer là trình xem tập tin DEX, cung cấp các tính năng sau: bộ đếm cho các lớp, gói, phương thức được định nghĩa và tham chiếu.Điều này rất hữu ích, trong số những thứ khác, để kiểm tra xem bạn có đang tiến gần đến giới hạn 64 phương thức trên mỗi DEX hay không, quyết định xem có nên bật multidex hay không, hoặc liệu có cần loại bỏ các phụ thuộc hay không.
Cây lớp hiển thị các phương thức được định nghĩa trong DEX và các phương thức được tham chiếu (bao gồm cả các phương thức từ thư viện bên thứ ba và các API Android và Java tiêu chuẩn). Công cụ này phân biệt giữa hai loại, giúp hiểu rõ phần nào trong ngân sách phương thức là do mã tùy chỉnh và phần nào là do các thư viện phụ thuộc.
Giao diện DEX cũng có các tính năng sau: các bộ lọc để hiển thị hoặc ẩn các trường, phương thức và phương thức được tham chiếu.Khi mở rộng một lớp, bạn có thể chọn chỉ xem các định nghĩa cục bộ hoặc tất cả các tham chiếu bên ngoài. Các phần tử được in nghiêng cho biết các tham chiếu không có định nghĩa trong tệp DEX đó; tức là các phương thức hoặc trường nằm trong các tệp DEX khác hoặc trong khung phần mềm.
Đối với các dự án sử dụng mã hóa làm xáo trộn và giảm thiểu mã với ProGuard hoặc R8, trình phân tích cho phép tải các tệp ánh xạ (mapping.txt), seeds.txt và usage.txt Đến từ cùng một bản dựng. Sau khi nhập, các chức năng bổ sung sẽ được kích hoạt: giải mã tên để khôi phục các lớp và phương thức gốc, làm nổi bật các nút không thể xóa (hạt giống) và hiển thị các nút đã bị xóa trong quá trình giảm thiểu.
Hộp thoại tải tệp thường tự động trỏ đến đường dẫn thông thường (app/build/outputs/mappings/release/và tìm kiếm các tên chính xác hoặc các tên chứa "mapping", "usage" hoặc "seeds" kết thúc bằng .txt. Với thông tin này, trình phân tích có thể hiển thị các phần tử được bảo vệ bằng chữ đậm và gạch ngang những phần tử không còn tồn tại trong DEX cuối cùng.
Trình xem DEX cũng bao gồm một menu ngữ cảnh với các chức năng rất mạnh mẽ: Xem mã bytecode (smali), tìm kiếm các trường hợp sử dụng và tạo các quy tắc bảo tồn ProGuard.Bằng cách chọn một lớp, phương thức hoặc trường, bạn có thể mở hộp thoại hiển thị mã ở dạng smali, khởi chạy tìm kiếm nơi ký hiệu đó được sử dụng trong toàn bộ DEX, hoặc tự động tạo quy tắc giữ lại để ngăn không cho nó bị rút gọn trong các bản dựng sau này.
Ngoài mã nguồn, APK Analyzer còn cho phép bạn kiểm tra phiên bản cuối cùng của nhiều tài nguyên khác, chẳng hạn như... hình ảnh, bố cục hoặc chính tệp resources.arscVí dụ, bạn có thể xem các chuỗi được bản địa hóa ở các ngôn ngữ và cấu hình khác nhau, kiểm tra xem tài nguyên nào đã ghi đè lên tài nguyên nào trong một biến thể nhất định, hoặc xem nội dung của các tệp nhị phân mà thông thường không được mở thủ công.
Cuối cùng, công cụ này bao gồm một tính năng rất hữu ích để xem xét các bản dựng: So sánh hai tệp APK hoặc gói ứng dụngViệc tải phiên bản hiện tại và so sánh nó với một phiên bản đã được xuất bản trước đó sẽ cho phép thấy sự khác biệt về kích thước của từng thực thể, rất lý tưởng để hiểu nguyên nhân dẫn đến sự gia tăng dung lượng giữa các phiên bản (tài nguyên hình ảnh mới, thư viện bổ sung, thay đổi mã, v.v.).
Tận dụng phân tích dữ liệu di động để hiểu trải nghiệm người dùng
Ngoài việc phân tích kỹ thuật thuần túy, điều cần thiết là phải có những công cụ cho phép chúng tôi đo lường những gì người dùng làm trong ứng dụng.Cách người dùng điều hướng trên các màn hình, nơi xảy ra lỗi, chiến dịch nào mang lại lưu lượng truy cập chất lượng và chiến dịch nào không. Thị trường nền tảng phân tích di động rất rộng lớn, vì vậy điều cần thiết là phải xác định rõ nhu cầu kinh doanh của bạn trước khi lựa chọn một nền tảng.
Bước sàng lọc đầu tiên là tự hỏi bản thân xem, ngoài việc thu thập số liệu về mức sử dụng và hiệu suất, bạn có thực sự cần công cụ này hay không. thúc đẩy sự hợp tác giữa các nhóm (sản phẩm, tiếp thị, UX, phát triển, hỗ trợ) hoặc cho phép bạn phân tích dữ liệu ứng dụng và web di động đồng thời. Một tiêu chí quan trọng khác là khả năng tích hợp với các giải pháp khác mà bạn đang sử dụng, chẳng hạn như CRM, công cụ tự động hóa tiếp thị hoặc nền tảng thử nghiệm.
Trong số các giải pháp được sử dụng rộng rãi nhất trong hệ sinh thái Android, Firebase nổi bật như một trong những giải pháp hàng đầu. nền tảng phát triển linh hoạt, lưu trữ và phân tích tích hợpFirebase cho phép bạn tạo ứng dụng cho Android, iOS và web bằng cách tận dụng cơ sở dữ liệu và hạ tầng xác thực của nó, đồng thời cung cấp một hệ thống mạnh mẽ để phân tích và báo cáo lỗi.
Với vai trò là một công cụ phân tích, Firebase cho phép Thu thập dữ liệu định lượng về mức độ sử dụng, lưu lượng truy cập và tương tác.Tạo ra các sự kiện tự động và tùy chỉnh (lên đến vài trăm sự kiện), theo dõi vị trí và tần suất xảy ra lỗi của ứng dụng, và hỗ trợ các quyết định tiếp thị hoặc sản phẩm bằng dữ liệu khách quan thay vì giả định.
Một nền tảng khác tập trung cao độ vào sản phẩm và trải nghiệm kỹ thuật số là Contentsquare, nền tảng này tiến thêm một bước so với các số liệu truyền thống và cung cấp các giải pháp khác. Lập bản đồ hành trình khách hàng chi tiết, bản đồ nhiệt, ghi lại phiên truy cập và phân tích lỗi.Mục tiêu của nó là giúp hiểu không chỉ những gì xảy ra trong ứng dụng, mà còn cả lý do tại sao một số hành vi nhất định lại xảy ra: người dùng gặp khó khăn ở đâu, họ bỏ qua những khu vực nào của giao diện hoặc yếu tố nào gây ra sự khó chịu.
Các mô-đun như Hành trình cung cấp cái nhìn tổng quan về toàn cầu. Hành trình hoàn chỉnh từ khi người dùng vào cho đến khi họ rời đi. Ứng dụng hoặc trang web di động được phân tích, xác định các tuyến đường chính cần tối ưu hóa. Bản đồ nhiệt trực quan hóa các khu vực được nhấp chuột nhiều nhất hoặc bị bỏ qua, tính năng Phát lại phiên xem xét các phiên riêng lẻ để phát hiện các mẫu (ví dụ: nhấp chuột nhiều lần vào cùng một nút kêu gọi hành động khi tức giận), và Phân tích sản phẩm phân tích các chỉ số như mức độ sử dụng tính năng, tỷ lệ chuyển đổi, thu hút người dùng và nỗ lực cảm nhận.
Contentsquare cũng bao gồm một mô-đun Phân tích lỗi, nhóm các lỗi kỹ thuật và chức năng theo tác độngGiúp ưu tiên những vấn đề cần khắc phục trước tiên, và chức năng Định lượng Tác động giúp chuyển đổi những vấn đề đó thành tổn thất về tỷ lệ chuyển đổi, doanh thu hoặc tỷ lệ giữ chân khách hàng, điều rất hữu ích khi cần thuyết phục các bên liên quan về những thay đổi.
Một trường hợp nghiên cứu thú vị là trường hợp của một nhóm, sử dụng loại phân tích sản phẩm này, đã xác nhận nghi ngờ của họ rằng Màn hình ký tên trên thiết bị di động gây khó hiểu cho người dùng.Khi so sánh dữ liệu trên web và thiết bị di động, họ nhận thấy tỷ lệ chuyển đổi trên thiết bị di động thấp hơn rõ rệt, đã nghiên cứu chi tiết trải nghiệm trên thiết bị di động, thiết kế lại trang ký tên theo phương pháp ưu tiên thiết bị di động và đã cải thiện đáng kể khả năng thích ứng với các thiết bị khác nhau.
Phân khúc người dùng nâng cao và phân tích hành vi
Để tìm hiểu sâu hơn về hành vi người dùng, một số nền tảng chuyên biệt hóa cao độ trong các lĩnh vực này. phân khúc và tạo nhómMixpanel là một trong những ví dụ nổi tiếng nhất, được thiết kế cho cả sản phẩm và tiếp thị, tập trung vào việc trực quan hóa các con đường dẫn đến chuyển đổi và phân tích hành vi của các nhóm người dùng khác nhau.
Trong Mixpanel, người dùng có thể được nhóm thành các nhóm dựa trên... các hành động được thực hiện hoặc các thuộc tính được chia sẻVí dụ, những người đã bắt đầu kế hoạch thanh toán trong 30 ngày qua, người dùng đã thử một tính năng cụ thể hoặc khách hàng đã thực hiện ít nhất hai lần mua hàng. Điểm mạnh của hệ thống nằm ở các thuộc tính tùy chỉnh và logic phân khúc, cho phép tạo ra các phân khúc phức tạp.
Các thuộc tính tùy chỉnh có thể được kết hợp thuộc tính của sự kiện, người dùng hoặc nhóm trong các thuộc tính mới, tổng quát hơn. Ví dụ, nhóm các nguồn UTM mạng xã hội khác nhau (Facebook, Instagram, Twitter) dưới thuộc tính "Mạng xã hội" để phân tích hành vi kết hợp của chúng. Logic phân đoạn cho phép bạn tạo các phân đoạn đã thực hiện các tổ hợp hành động cụ thể, chẳng hạn như mua cả sản phẩm A và sản phẩm B.
Một công cụ nổi bật khác, lần này tập trung mạnh vào quyền riêng tư, là Countly, một giải pháp phân tích trên thiết bị di động, web và máy tính để bàn có thể được triển khai trên cơ sở hạ tầng riêng của công ty, mang lại... quyền kiểm soát tuyệt đối đối với dữ liệuĐiều này đặc biệt thú vị đối với các lĩnh vực được quản lý chặt chẽ hoặc các công ty có yêu cầu tuân thủ nghiêm ngặt.
Countly cung cấp tính năng bảo mật nâng cao, truy cập dữ liệu chi tiết theo thời gian thực (hồ sơ đầy đủ, số liệu tương tác cấp độ cá nhân) và các mô-đun được thiết kế dành riêng cho từng đối tượng. Phân tích lòng trung thành của khách hàng và phát hiện khách hàng rời bỏ“Trung tâm tuân thủ” của nó cho phép bạn quản lý việc thu thập dữ liệu theo sự đồng ý, cũng như các yêu cầu xuất hoặc xóa dữ liệu, phù hợp với các quy định về bảo vệ dữ liệu.
Nền tảng tiếp thị và đăng ký với phân tích tích hợp
Khi mục tiêu chính là tiếp thị trên thiết bị di động, có những giải pháp cụ thể kết hợp nhiều yếu tố. đo lường, phân khúc và thực thi chiến dịch trên một nền tảng duy nhất. Localytics là một ví dụ điển hình: nó tích hợp phân tích ứng dụng với các công cụ nhắn tin và cá nhân hóa, khiến nó trở nên rất hấp dẫn đối với các nhóm tiếp thị cần một hệ thống thống nhất.
Localytics cung cấp các báo cáo chiến dịch chi tiết để xem. Những hành động nào có tác động lớn nhất đến tỷ lệ chuyển đổi, tỷ lệ giữ chân khách hàng, lợi tức đầu tư (ROI), tỷ lệ khách hàng rời bỏ và tỷ lệ gỡ cài đặt ứng dụng?Khả năng phân tích dự đoán của nó giúp xác định những người dùng có khả năng chuyển đổi hoặc bỏ ngang cao, cho phép gửi các tin nhắn cá nhân hóa vào đúng thời điểm.
Nền tảng này cũng bao gồm các mô-đun tùy chỉnh thông minh dành cho Tạo phân khúc dựa trên hồ sơ, hành vi và lịch sử. Từ đó, triển khai các chiến dịch và trải nghiệm phù hợp với bối cảnh của người dùng, giúp cải thiện đáng kể tính phù hợp của thông điệp.
Trong lĩnh vực ứng dụng đăng ký, RevenueCat đã trở thành một công cụ quan trọng đối với nhiều nhóm. Với bộ công cụ phát triển phần mềm (SDK) tương đối dễ tích hợp, nó cho phép... Quản lý đăng ký di động, thu thập phân tích mục tiêu và thậm chí thử nghiệm các tường phí. mà không cần phải làm lại từ đầu trong mỗi dự án.
RevenueCat cung cấp bảng điều khiển tập trung vào các chỉ số đăng ký: số lần dùng thử đang hoạt động, tỷ lệ chuyển đổi dùng thử, người dùng hoạt động, doanh thu và MRR. Nó cũng cung cấp Biểu đồ có thể tùy chỉnh với bộ lọc và phân đoạn. Ví dụ, để xem doanh thu định kỳ được phân bổ như thế nào theo quốc gia hoặc theo loại gói dịch vụ.
Một trong những điểm mạnh của nó là khả năng thử nghiệm A/B về giá cả và các rào cản trả phí, điều này cho phép Thử nghiệm các sự kết hợp khác nhau giữa giá cả, gói dịch vụ và chương trình khuyến mãi. và đo lường tác động của từng biến thể lên toàn bộ quy trình đăng ký, từ lần truy cập đầu tiên đến việc vượt qua rào cản thanh toán và duy trì khách hàng lâu dài.
Để giám sát các ứng dụng phức tạp, AppDynamics cung cấp phương pháp giám sát toàn diện, bao gồm mọi thứ từ các microservice và hàm serverless đến các API công khai và riêng tư, và thậm chí cả các ứng dụng di động. Mục tiêu của nó là Nhanh chóng phát hiện các vấn đề về hiệu năng và xác định nguyên nhân gốc rễ.Cho dù nó nằm trong mã nguồn, trong một thư viện phụ thuộc, hay trong một dịch vụ bên ngoài.
AppDynamics cho phép bạn liên kết dữ liệu từ thiết bị di động, trình duyệt và người dùng tùy chỉnh với So sánh trải nghiệm giữa các phiên bản khác nhau của ứng dụng. và xem trải nghiệm người dùng (UX) bị ảnh hưởng ở đâu. Nó có các widget sẵn sàng sử dụng để xây dựng bảng điều khiển chi tiết và một mô-đun giám sát tổng hợp mô phỏng luồng người dùng và các cuộc gọi API, phát hiện lỗi trước khi chúng ảnh hưởng đến người dùng thực.
Cuối cùng, AppsFlyer tập trung đặc biệt vào các nhóm tiếp thị cần đo lường, phân bổ và bảo vệ các chiến dịch di động của họ. Nền tảng này cung cấp các giải pháp từ phân tích cơ bản đến các tính năng nâng cao, với trọng tâm đặc biệt vào... phát hiện gian lận quảng cáo (ví dụ: các bot tạo ra lượt nhấp chuột giả).
Ngoài tính năng bảo vệ chống gian lận, AppsFlyer còn cho phép bạn định nghĩa... sự kiện tùy chỉnh trong ứng dụng Nó liên kết các chỉ số KPI như ROI hoặc giá trị vòng đời khách hàng với các hành động cụ thể của người dùng. Nó cũng bao gồm các bài kiểm tra gia tăng để ước tính số lượng chuyển đổi có thể đạt được nếu không có các chiến dịch trả phí và do đó đo lường tác động thực sự của đầu tư quảng cáo.
Để bổ sung cho tất cả các phân tích định lượng này, cần xem xét các công cụ như AppFollow, tập trung vào... Theo dõi xếp hạng và đánh giá trên App Store và Google Play.Nhờ phân tích cảm xúc, có thể thấy được sự thay đổi về giọng điệu của các đánh giá và so sánh giữa các giai đoạn, từ đó thu được những manh mối rõ ràng về cách người dùng cảm nhận chất lượng và trải nghiệm của ứng dụng.
Kiểm tra an ninh và phân tích nâng cao với Inspeckage
Khi mục tiêu không chỉ đơn thuần là tiếp thị hay sản phẩm, mà còn là... Kiểm tra bảo mật, phân tích phần mềm độc hại hoặc xem xét hoạt động nội bộ của ứng dụng.Các framework chuyên biệt hơn sẽ được sử dụng. Một trong những framework thú vị nhất trong hệ sinh thái Android là Inspeckage (Android Package Inspector), hoạt động như một module Xposed.
Inspeckage thiết lập một máy chủ trên chính thiết bị Android, có thể truy cập thông qua adb từ máy tính, và cho phép bạn xem... Các sự kiện thời gian thực xảy ra trên thiết bị trong khi ứng dụng đang chạy.Khác với các môi trường phân tích khác như MobSF hay AppMon, ưu điểm vượt trội của nó là cho phép bạn quan sát các sự kiện mà không cần dừng quá trình phân tích động và dễ dàng cấu hình các hook trên các phương thức cụ thể.
Mã nguồn của công cụ có sẵn trên GitHub và cũng có thể được tải xuống dưới dạng tệp APK từ Play Store hoặc kho lưu trữ Xposed. Sau khi cài đặt mô-đun, nó sẽ được kích hoạt trong Xposed và có thể được nhìn thấy trong giao diện chính. trạng thái máy chủ, giao diện mạng, cổng và lệnh adb Cần phải kết nối từ máy tính cục bộ.
Ứng dụng hiển thị danh sách các ứng dụng trên thiết bị, với tùy chọn chỉ chọn ứng dụng của người dùng hoặc bao gồm cả ứng dụng hệ thống. Tùy chọn này có sẵn trong menu bên cạnh. Cấu hình giao diện và cổng, bật xác thực bằng tên người dùng và mật khẩu. và điều chỉnh các thông số máy chủ khác.
Sau khi chọn và khởi chạy ứng dụng, quá trình phân tích động bắt đầu. Một trang web được lưu trữ trên thiết bị sẽ được truy cập từ trình duyệt của máy tính, nơi hiển thị một menu với các nút dành cho [không rõ - có thể là "cơ hội" hoặc "chức năng". Tải xuống tệp APK hoặc dữ liệu từ bộ nhớ trong., chụp ảnh màn hình, áp dụng các cấu hình khác nhau (chẳng hạn như tắt FLAG_SECURE, khởi động lại ứng dụng, chọn proxy hoặc chọn loại sự kiện cần ghi lại) và làm mới kết quả theo thời gian thực.
Inspeckage cũng cung cấp các phím tắt để mở tab chứa LogCat, kiểm tra xem ứng dụng hoặc mô-đun có đang chạy hay không, và ẩn hoặc hiện các bảng chi tiết. Bảng thông tin ứng dụng hiển thị tên gói, UID, GUID, trạng thái sao lưu và giao diện truy cập dạng cây thư mục (TreeView) vào bộ nhớ trong, cho phép tải xuống các tập tin chỉ bằng một cú nhấp chuột.
Phần chính của báo cáo được tổ chức thành các tab khác nhau: một tab với các hoạt động, quyền hạn, dịch vụ, nhà cung cấp nội dung, thiết bị thu phát sóng và thư viện dùng chung, với các tùy chọn để khởi chạy hoạt động hoặc tham khảo ý kiến nhà cung cấp; một tùy chọn khác dành riêng cho SharedPreferences, có thể được xem cả ở định dạng nhật ký (để đánh giá sự thay đổi của các biến theo thời gian) và ở trạng thái hiện tại của tệp.
Một tính năng rất mạnh mẽ là khả năng ghi lại tất cả các âm thanh. hoạt động mã hóa của ứng dụngPhần này hiển thị các thuật toán, khóa và thông tin được mã hóa đã sử dụng. Tab "Hash" chứa tất cả các giá trị được áp dụng hàm băm và loại hàm được sử dụng trong mỗi trường hợp.
Mục "Hệ thống tập tin" liệt kê tất cả các tập tin mà ứng dụng đã tương tác, điều này hữu ích để phát hiện xem ứng dụng có đang tạo ra các tập tin đáng ngờ hoặc tải xuống ứng dụng từ các nguồn không chính thức hay không. Tab "IPC" hiển thị các nỗ lực giao tiếp giữa các tiến trình bằng cách sử dụng intent.
Tab “Hooks” tập hợp hoạt động của tất cả các phương thức đã được cấu hình hook tùy chỉnh. Việc tạo chúng tương đối đơn giản nhờ giao diện đồ họa, nơi bạn có thể... Hãy chỉ rõ phương pháp chặn bắt và loại móc câu.Có thể định nghĩa các hook để sửa đổi các tham số đầu vào hoặc giá trị trả về của phương thức, mở ra nhiều kịch bản kiểm thử khác nhau.
Bạn có thể tìm thấy các chức năng bổ sung trong menu bên cạnh. thao tác các giá trị nhận dạng dấu vân tay thiết bị hoặc tọa độ GPSĐiều này giúp vượt qua các cơ chế phát hiện trình giả lập hoặc giả mạo vị trí. Ngoài ra, Inspeckage có thể ghi nhật ký các truy vấn cơ sở dữ liệu, lưu lượng mạng, WebView và các tài nguyên khác được các nhà cung cấp nội dung truy cập.
Nhờ bộ tính năng toàn diện này, Inspeckage được coi là một công cụ mạnh mẽ. Một công cụ rất toàn diện giúp giảm thời gian phân tích mẫu.Đặc biệt hữu ích cho những người mới bắt đầu phân tích phần mềm độc hại trên thiết bị di động hoặc kiểm tra bảo mật ứng dụng Android.
Các phương pháp bảo mật, mối đe dọa và phòng thí nghiệm thử nghiệm
Trong bối cảnh hiện nay, với hàng tỷ thiết bị Android đang hoạt động và các ứng dụng xử lý dữ liệu nhạy cảm (ngân hàng, y tế, giáo dục, v.v.), việc thực hiện các biện pháp bảo mật là vô cùng cần thiết. bảo mật trong suốt vòng đời của ứng dụngVấn đề không chỉ là tránh những lỗi hiển nhiên, mà còn là tuân thủ các quy định như GDPR hoặc các tiêu chuẩn ngành như PCI DSS khi xử lý thanh toán.
Các ứng dụng Android phải đối mặt với nhiều mối đe dọa, và nhiều mối đe dọa trong số đó đã được giải quyết trong các dự án như... Top 10 di động của OWASPTrong số những vấn đề nghiêm trọng nhất, chúng ta có thể kể đến việc sử dụng nền tảng không đúng cách (không tận dụng các cơ chế bảo mật gốc, quản lý quyền hạn kém, lạm dụng các API bị lộ), lưu trữ dữ liệu không an toàn (cơ sở dữ liệu không được mã hóa, nhật ký chứa thông tin nhạy cảm, cookie được bảo vệ kém), hoặc... thông tin liên lạc không an toàn (sử dụng các giao thức lỗi thời hoặc lưu lượng truy cập không được mã hóa).
Các vấn đề với xác thực và quản lý phiên kém (mật khẩu yếu, phiên không hết hạn, mã thông báo được bảo vệ kém), mã hóa không đủ cho phép kẻ tấn công vật lý hoặc phần mềm độc hại truy cập dữ liệu, và các lỗi xác thực mở ra cơ hội leo thang đặc quyền thông qua các cuộc tấn công tự động.
Về phía lập trình viên, chất lượng mã nguồn phía máy khách là yếu tố then chốt: thực hành kém, thiếu kiểm soát lỗi hoặc chức năng bảo mật được triển khai kém. Những điều này có thể dẫn đến tràn bộ đệm và các lỗ hổng bảo mật khác. Thêm vào đó là nguy cơ sửa đổi mã nguồn (các bản vá nhị phân độc hại, tài nguyên bị thay đổi, v.v.). Các ứng dụng giả mạo mạo danh ứng dụng hợp pháp.), phân tích ngược mã nguồn APK và sự hiện diện của các chức năng "ẩn" hoặc chức năng gỡ lỗi không bị vô hiệu hóa trong môi trường sản xuất.
Để giải quyết những mối đe dọa này, dự án OWASP Mobile Application Security (MAS) đề xuất một giải pháp: phương pháp luận và danh sách kiểm tra các yêu cầu bảo mật Bao gồm nhiều lĩnh vực: kiến trúc và thiết kế bảo mật, quyền riêng tư và lưu trữ dữ liệu, mật mã học phù hợp, xác thực và quản lý phiên, truyền thông mạng an toàn, tương tác nền tảng, chất lượng mã và cấu hình bản dựng, và các cơ chế phục hồi phía máy khách.
Việc đánh giá các yêu cầu này thường kết hợp phân tích tĩnh và phân tích động. Trong phần tĩnh, các hiện vật như... mã nguồn, mã đã dịch ngược, các tệp nhị phân và các tệp liên quan Ngay cả khi chưa chạy ứng dụng, các lỗ hổng tiềm ẩn vẫn có thể được suy luận từ siêu dữ liệu, các lệnh gọi hàm và luồng chương trình. Các công cụ như Mara (một khung phân tích cho phép phân tích ngược và dịch mã APK, khử nhiễu, phân tích chuỗi, trích xuất quyền, v.v.), chính APK Analyzer và các giải pháp như JAADAS để phân tích IPC tĩnh đặc biệt hữu ích ở giai đoạn này.
Ngược lại, trong phân tích động, ứng dụng chạy trong một môi trường được kiểm soát và hành vi của nó được quan sát trong các điều kiện khác nhau. Đây là nơi các công cụ như... Drozer tương tác với máy ảo Dalvik, các điểm cuối IPC và hệ điều hành. Để tìm ra các lỗ hổng; Burp Suite, hoạt động như một máy chủ proxy web để thu thập và thao tác lưu lượng truy cập giữa ứng dụng và máy chủ; và Inspeckage, được thiết kế để theo dõi và giám sát ứng dụng trong thời gian thực bằng cách sử dụng các hook trên API Android.
Ngoài ra còn có các khung phân tích lai như Mobile Security Framework (MobSF), kết hợp phân tích tĩnh và động, giúp... Tổ chức các cuộc kiểm toán toàn diện hơn. Từ một công cụ duy nhất. Đối với những người muốn thực hành, một cách học rất hiệu quả là làm việc với các ứng dụng có lỗ hổng bảo mật được cố ý tạo ra.
Trong số các ứng dụng thực hành này có các dự án như InsecureShop (một cửa hàng trực tuyến dễ bị tấn công với gần hai mươi lỗ hổng có thể khai thác, hầu hết không cần quyền root), AndroGoat (ứng dụng dễ bị tấn công đầu tiên được phát triển bằng Kotlin, với hàng chục lỗ hổng khác nhau), InsecureBank V2 (một ứng dụng ngân hàng với phần phụ trợ bằng Python, được thiết kế với nhiều điểm yếu) và các bài tập Crackme từ chính dự án MAS, được cấu trúc theo nhiều cấp độ khó kiểu CTF.
Tóm lại, phân tích ứng dụng Android không chỉ đơn thuần là xem xét quyền truy cập hay đếm số lượt tải xuống. Nó bao gồm sự kết hợp của nhiều yếu tố. Các công cụ kiểm tra APK, môi trường phân tích động, phương pháp bảo mật và nền tảng phân tích sản phẩm và tiếp thị.Khi tất cả các yếu tố này được tích hợp vào vòng đời của ứng dụng, kết quả sẽ là các ứng dụng an toàn hơn, hiệu quả hơn và đáp ứng tốt hơn nhu cầu thực tế của người dùng và doanh nghiệp.
