Mobil uygulama güvenliğine giriş
Telefondaki uygulamaların neden ayrı bir güvenlik konusu olduğunu öğrenir, bir APK ve IPA'nın içine bakar, sırları, depolamayı, ağı ve cihaz yönetimini ilk kez incelersin.
Seviye 101 · 30 ders · 27 pratik lab
Dersler
Mobil dünya ve tehditler
- Mobil tehditler: kayıp cihaz, sahte uygulama, güvensiz ağ
- Platform uygulamaları nasıl korur: korumalı alan, izinler, imza
- Android ve iOS: iki farklı güvenlik yaklaşımı
- Uygulama mağazaları ve mağaza dışı kurulum
- Kısa görev: bir bordro uygulaması için beş tehdidi önem sırasına koy
Uygulama paketinin içi
- Bir APK'nın anatomisi: manifest, dex, kaynaklar, imza
- Bir iPhone uygulamasının (IPA) içi: Payload, Info.plist, yetkilendirmeler
- Android manifestini ilk kez okumak: izinler ve bileşenler
- Uygulama imzası ve yeniden paketlenmiş kopyalar
- Kısa görev: bir APK'yı aç; paket adını, sürümünü ve imzacısını bul
Uygulamanın sakladıkları ve sızdırdıkları
- Uygulamaya gömülmüş sırlar: API anahtarları ve parolalar
- Uygulamanın telefonda tuttuğu veriler
- Ağ güvenliği: HTTPS, güvenilen sertifikalar ve sabitleme
- Günlükler, ekran görüntüleri ve pano üzerinden sızıntı
- Kısa görev: bir eğitim uygulamasında gömülü bir anahtarı ve düz metin bir dosyayı bul
Kurumda mobil güvenlik
- Şirket telefonunda şüpheli uygulama: ilk inceleme
- Cihaz yönetimi ve filo uyumluluğu
- Yetkili test: izin, kapsam ve kendi laboratuvarın
- Kısa görev: bir cihaz listesinde ilkeye uymayan telefonları işaretle
Tanıdık saldırı senaryoları ve savunması
- Sahte ve taklit uygulamalar: gerçek uygulamayı ayırt etmek
- Telefonda oltalama: SMS, anlık ileti ve QR kod
- Ekran kaplaması ve erişilebilirlik izninin kötüye kullanımı
- Kayıp veya çalıntı telefon: ilk bir saatte yapılacaklar
- Kısa görev: üç mağaza kaydından sahte olanı imza ve paket adına bakarak bul
Araçlarla ilk tanışma
- Araç kutusu: apktool, jadx, aapt2, apksigner ne işe yarar
- aapt2 ile bir APK'nın kimlik kartını çıkarmak
- jadx ile koda ilk bakış: sınıfları gezmek ve arama yapmak
- Info.plist'i ilk kez okumak: paket kimliği, izin açıklamaları, URL şemaları
- Kısa görev: bir APK ile bir IPA'nın kimlik kartını yan yana çıkar
Bitirme
- Bitirme görevi: yayından önce yeni bir uygulamayı incele ve bulgularını raporla
Pratik lablar
- Bordro uygulaması için tehditleri sırala: Mavikaya Lojistik'in bordro uygulaması için verilen sekiz tehdidi olasılık ve etkiye göre sırala ve ilk üçünün gerekçesini yaz.
- Kayıp telefon senaryosunda neyin açığa çıkacağını çıkar: Lavinya Klinikleri'nde kaybolan bir telefonun uygulama listesine bakarak hangi verinin riske girdiğini ve hangi önlemin eksik olduğunu tabloya dök.
- Üç uygulamanın risk profilini karşılaştır: Bir haber, bir bankacılık ve bir saha servis uygulaması için tehdit listesi hazırla ve her birinde en çok önem taşıyan iki korumayı gerekçelendir.
- Bir APK'nın kimlik kartını çıkar: aapt2 ile Turnalı Perakende'nin sadakat uygulamasının paket adını, sürümünü, en düşük ve hedef SDK değerlerini bul ve not et.
- İki sürümün kimlik farkını bul: Aynı uygulamanın iki APK'sını karşılaştır; sürüm kodu, hedef SDK ve izin listesinde neyin değiştiğini raporla.
- Beş APK'dan envanter tablosu üret: Bir klasördeki beş APK için paket adı, sürüm, SDK değerleri ve başlatıcı activity'yi tek komut dizisiyle CSV dosyasına yaz.
- Bir IPA'nın içini aç ve Info.plist'i oku: Mercanköşk Otelcilik'in IPA dosyasını aç, paket kimliğini, sürümünü ve en düşük iOS sürümünü Info.plist'ten çıkar.
- IPA'daki izin açıklamalarını listele: Info.plist'teki bütün izin açıklama metinlerini listele ve uygulamanın işleviyle uyuşmayan izni işaretle.
- APK ile IPA'yı yan yana karşılaştır: Aynı uygulamanın Android ve iOS paketlerinden kimlik, izin ve URL şeması bilgilerini çıkar, iki platform arasındaki tutarsızlıkları raporla.
- Manifestteki izinleri oku ve gereksizini bul: Bir el feneri uygulamasının manifestindeki izinleri listele ve işlevle ilgisi olmayan izni gerekçesiyle işaretle.
- Manifestten bileşen sayımı yap: Karaçam Mobilya'nın katalog uygulamasında activity, service, receiver ve provider sayısını ve dışa açık olanları tabloya dök.
- Manifestte üç riskli ayarı bul: Bir eğitim APK'sının manifestinde hata ayıklama, yedekleme ve düz metin trafik ayarlarını denetle ve her biri için düzeltme satırını yaz.
- Bir APK'nın imzacısını doğrula: apksigner ile Yelkovan Bankası uygulamasının imza sertifikası özetini al ve verilen resmî özetle karşılaştır.
- Üç kopyadan yeniden paketlenmiş olanı bul: Aynı ada sahip üç APK'nın imzacısını ve paket adını karşılaştır, sahte kopyayı kanıtıyla göster.
- Hata ayıklama sertifikasıyla imzalı yayını yakala: Bir APK klasöründe hata ayıklama sertifikasıyla imzalanmış veya yalnızca v1 şemasını kullanan paketleri bulan kısa bir denetim betiği yaz.
- strings.xml içinde gömülü anahtarı bul: Çözülmüş bir APK'nın kaynak dosyalarında API anahtarına benzeyen değeri bul ve neden orada durmaması gerektiğini bir cümleyle yaz.
- Kodda gömülü parolayı jadx ile bul: Ayçiçeği Gıda'nın sipariş uygulamasını jadx ile aç, giriş sınıfındaki gömülü test parolasını bul ve düzeltme öner.
- Bir APK'da üç farklı türde sır ara: Kaynaklarda, kodda ve assets klasöründe birer gömülü sır bul; her birinin türünü, yerini ve doğru saklama yöntemini raporla.
- Uygulama verisinde düz metin dosyayı bul: Hazır veri dışa aktarımında kullanıcının e-posta adresini düz metin tutan dosyayı bul ve yolunu not et.
- Tercih dosyasındaki oturum belirtecini bul: Gelincik Okulları veli uygulamasının tercih dosyalarını incele, oturum belirtecinin nerede ve nasıl saklandığını raporla.
- Günlük, pano ve dosyada sızıntı ara: Verilen günlük dökümü, pano geçmişi ve veri klasöründe aynı parolanın izlerini bul ve üç sızıntı kanalını ayrı ayrı belgeleyip düzeltme öner.
- Uygulamanın düz metin trafiğe izin verip vermediğini bul: Bir APK'nın manifestine ve ağ güvenliği yapılandırmasına bakarak HTTP trafiğine izin verilip verilmediğini kanıtıyla yaz.
- Koddaki HTTP adreslerini listele: Kuzeyyıldızı Kargo uygulamasının kodunda ve kaynaklarında geçen bütün adresleri çıkar, şifrelenmemiş olanları işaretle.
- Sabitleme ayarını oku ve değerlendir: Bir uygulamanın ağ güvenliği yapılandırmasındaki pinleri, yedek pini ve son kullanma tarihini bul; eksikleri bir bulgu notuna çevir.
- Cihaz listesinde eski sürümlü telefonları işaretle: Sedirli Hukuk Bürosu'nun yirmi cihazlık listesinde ilkenin istediği sürümün altında kalan telefonları bul.
- İlkeye uymayan cihazları nedenine göre grupla: Bir CSV cihaz dökümünü ilke maddeleriyle karşılaştır; ekran kilidi, şifreleme ve sürüm ihlallerini ayrı listeler hâlinde çıkar.
- Şirket telefonundaki şüpheli uygulama için ilk notu yaz: Bir cihazın uygulama listesinde mağaza dışından kurulmuş şüpheli uygulamayı bul, imzasına ve izinlerine bakıp bir sayfalık ilk inceleme notu yaz.
Kurs hakkında
Telefondaki uygulamaların neden ayrı bir güvenlik konusu olduğunu öğrenir, bir APK ve IPA'nın içine bakar, sırları, depolamayı, ağı ve cihaz yönetimini ilk kez incelersin.
Ne öğreneceksin
- Mobil dünya ve tehditler
- Uygulama paketinin içi
- Uygulamanın sakladıkları ve sızdırdıkları
- Kurumda mobil güvenlik
- Tanıdık saldırı senaryoları ve savunması
- Araçlarla ilk tanışma
- Bitirme
Ön koşullar
Ön bilgi gerekmez; kurs sıfırdan başlar.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs başlangıç düzeyindedir; her terim ilk geçtiği yerde açıklanır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.