안드로이드 취약점 진단 자동화 도구 - QARK(Quick Android Review Kit) 사용법

QARK는 데프콘 23 USA 2015라는 이름으로 발표되면서 주목받은 오픈소스 안드로이드 앱 취약점 진단 프레임워크입니다. QARK는 기존의 상요도구들과 같이 간편하게 앱에 대한 자동화 진단을 제공합니다.

 

QARK는 apk파일에서 자바클래스파일까지의 디컴파일 과정 사이사이에 추출한 코드를 파서(Parser)를 이용해 정적 분석을 수행하는 도구 입니다. 

 

다운로드 링크 - https://github.com/linkedin/qark 

GitHub - linkedin/qark: Tool to look for several security related Android application vulnerabilities

주의사항 -- 윈도우 버전은 없기때문에, macOS나 Linux에서 진행해야합니다.

 

저는 Kali Linux에서 진행했습니다.

 

아래 설명따라 설치를 하고 분석할 APK 파일까지 받아옵니다.

명령어 : < qark --apk [앱경로] > 

스캐닝하는데 10분정도 걸린 것 같습니다. [ 왜이렇게 오래걸리지..? ]

진단이 끝나면 html 파일을 하나 던져줍니다. 해당 파일을 브라우저로 열어보면,

 

이렇게 위험하거나, 취약점이 발생할 수 있는 부분을 진단해서 알려줍니다.

근데 원래 이런 UI가 아니였는데..이상합니다..뭔가 잘못 돌린건가..ㅜㅜㅜㅜ