Reverse Engineering в мобильной разработке: что это такое, инструменты и методы анализа

Что такое Reverse Engineering?

Reverse Engineering (реверсинг) — дисциплина анализа программного обеспечения, направленная на восстановление характеристик, логики и структуры приложения из его бинарного представления. Для мобильных приложений объектами анализа выступают APK-файлы (Android) и IPA-файлы (iOS), содержащие компилированный код, ресурсы, манифесты и сертификаты. Результат реверсинга — выделение алгоритмов, протоколов, ключей шифрования, API-схем и бизнес-логики.

Цели обратной разработки делятся на легитимные и нелегитимные. Легитимные: анализ вредоносного ПО для создания средств защиты, аудит собственных приложений на уязвимости, обеспечение совместимости с закрытыми протоколами, патентный анализ и обучение. Нелегитимные: кража интеллектуальной собственности, обход лицензионных ограничений, создание пиратских копий и модификация приложения для кражи данных пользователей. По данным Google Play Protect (2025), 78% вредоносных модификаций банковских приложений создаются на основе оригинального APK, пропущенного через reverse engineering.

Методология реверсинга включает два основных направления: статический анализ (без запуска приложения) и динамический анализ (во время выполнения). Каждый подход даёт разный уровень информации. Статический — полную картину кода, но без данных времени выполнения. Динамический — реальное поведение, поток данных, сетевые вызовы, но только в рамках конкретного сценария выполнения. Профессиональный реверсинг всегда комбинирует оба подхода.

Инструменты статического анализа

Статический анализ — первый этап обратной разработки. Исходный APK или IPA распаковывается, и каждый компонент анализируется отдельно. Основные цели: DEX-байткод, ресурсы, манифест, нативные библиотеки (.so, .dylib) и метаданные.

jadx — декомпилятор DEX в Java

jadx — основной инструмент для статического анализа Android-приложений. Он преобразует DEX-байткод в читаемый Java-код с минимальными потерями. jadx поддерживает: декомпиляцию multidex, распознавание лямбд и встроенных классов Kotlin, экспорт в Gradle-проект. Для обфусцированного кода (ProGuard) jadx показывает код с именами a, b, c, но структура классов и последовательность вызовов сохраняется. По данным независимого тестирования, jadx корректно декомпилирует 85–92% кода даже с обфускацией.

apktool — распаковка ресурсов

apktool декодирует APK в smali-код (ассемблер DEX) и восстанавливает ресурсы в читаемом виде: AndroidManifest.xml превращается из AXML в читаемый XML, layouts — в XML-разметку, strings.xml — в plain text. apktool позволяет модифицировать ресурсы и пересобрать APK. После распаковки через apktool и подмены ресурсов приложение можно установить с модифицированным содержимым.

Ghidra — анализ нативных библиотек

Ghidra (NSA) — фреймворк reverse engineering, незаменимый для анализа .so-библиотек Android и .dylib iOS. Ghidra дизассемблирует ARM64 код, восстанавливает псевдокод C и строит граф вызовов. Для мобильного реверсинга Ghidra используется для анализа нативных реализаций криптографии и DRM-механизмов. Ghidra поддерживает скриптинг на Python и Java для автоматизации анализа.

# Распаковка и декомпиляция APK
$ jadx -d output_dir app.apk

# Распаковка ресурсов через apktool
$ apktool d app.apk -o app_unpacked

# Анализ нативной библиотеки через Ghidra
$ ghidra app.apk/lib/arm64-v8a/libnative.so

# Поиск строковых констант в DEX
$ strings classes.dex | grep -i api_key

Инструменты динамического анализа

Динамический анализ выполняется на запущенном приложении. Анализатор подключается к процессу и перехватывает вызовы функций, аргументы и возвращаемые значения в реальном времени.

Frida — универсальный инструмент инструментации

Frida — ведущий инструмент динамического анализа мобильных приложений. Frida внедряет JavaScript-движок в процесс приложения (Android ART или iOS app) и позволяет перехватывать вызовы как Java/Objective-C, так и C/C++ функций. С помощью Frida реверс-инженеры могут: логировать все вызовы метода AES.decrypt() с параметрами, подменять return value на произвольный, снимать SSL-pinning через Universal Android SSL Unpin, трассировать нативные вызовы через Stalker. Frida работает без модификации APK/IPA, что делает её незаменимой для тестирования на проникновение.

Objection — надстройка над Frida

Objection предоставляет готовые команды для типовых задач реверсинга без написания JavaScript-скриптов: disable-pinning (отключение SSL pinning), dump-keychain (iOS), explore (обход иерархии классов), memory search (поиск строк в памяти). Objection позволяет выполнить полный динамический анализ без единой строки кода. Для iOS приложений Objection автоматически находит и логирует вызовы NSURLSession, CFNetwork и NSKeyedArchiver.

Xposed Framework

Xposed — фреймворк для Android, работающий путём замены файла app_process в Zygote. В отличие от Frida, Xposed не требует root-доступа после установки. Xposed модули могут перехватывать вызовы методов в любом приложении. Для реверсинга Xposed удобен долгосрочным анализом: модуль устанавливается и работает постоянно, логируя поведение приложения в разных сценариях. Xposed поддерживает Android до версии 8.1; для Android 9+ используется EdXposed на базе SandHook.

// Frida: перехват метода decrypt() в приложении
let aesClass = Java.use("javax.crypto.Cipher");

aesClass.doFinal.overload(
    "[B", "int", "int"
).implementation = function(
    input, offset, len
) {
    console("[AES] decrypt called, len=" + len);
    return this.doFinal(input, offset, len);
};

Процесс обратной разработки Android-приложения

Standard workflow реверсинга состоит из последовательных шагов, каждый из которых даёт определённый уровень информации.

Шаг 1: Сбор разведданных

Анализатор изучает APK на уровне метаданных: targetSdk, uses-permission (какие разрешения запрашивает), intent-filter и exported components. По разрешениям можно определить, какие API используются (android.permission.CAMERA → камера, android.permission.RECORD_AUDIO → аудио). По exported activity определяются точки входа без авторизации. Этот этап выполняется через aapt или ApkAnalyzer и занимает 1–2 минуты.

Шаг 2: Декомпиляция DEX

APK распаковывается, classes.dex (или multidex) подаётся на вход jadx. На выходе — Java/Kotlin код в пакетах. Анализатор ищет ключевые классы: CryptoUtils, ApiClient, AuthManager, DatabaseHelper, и проверяет, какие алгоритмы используются. Если в коде встречаются строки AES/CBC/PKCS5Padding — приложение использует шифрование, и нужно найти ключ. На этом этапе определяются: хардкоженные ключи, API-URL, OAuth-токены и секреты. Без обфускации весь код приложения читается как обычный Java-проект.

Шаг 3: Анализ трафика

Настроив Frida или Objection для отключения SSL-pinning, анализатор запускает приложение и перехватывает сетевой трафик через Burp Suite или mitmproxy. По данным трафика восстанавливается API-схема: какие эндпоинты, какие параметры, в каком формате. При возможности анализатор модифицирует запросы и проверяет реакцию сервера на некорректные или вредоносные данные. Отсутствие серверной валидации — прямая уязвимость, обнаруженная на этом шаге.

Шаг 4: Запись в data.json

Результаты анализа фиксируются в структурированном виде. Для каждого найденного уязвимого места указывается: класс и метод, описание уязвимости, вектор эксплуатации и рекомендация по исправлению. Этот дата-сет передаётся команде разработки или используется для составления пентест-отчёта. В автоматизированных средах (MobSF) отчёт генерируется автоматически по итогам статического и динамического анализа.

Особенности reverse engineering iOS-приложений

Reverse engineering iOS-приложений сложнее Android из-за более жёсткой архитектуры безопасности Apple и отсутствия прямого доступа к файловой системе на stock-устройствах. Для анализа iOS нужен jailbreak.

Статический анализ Mach-O

IPA-архив содержит Mach-O бинарник — универсальный формат исполняемых файлов Apple. Для декомпиляции используется Hopper Disassembler или IDA Pro. В отличие от Android DEX, который декомпилируется в Java с минимальными потерями, Mach-O содержит нативный ARM64 код, который восстанавливается в псевдокод C с меньшей точностью. Hopper справляется с 60–70% восстановления, остальное приходится анализировать на уровне ассемблера.

Динамический анализ с Frida для iOS

Frida на iOS требует jailbreak и установки frida-server. После подключения Frida перехватывает Objective-C методы через API message routing. Для iOS-приложений типовой сценарий: перехват методов NSURLSession.dataTaskWithRequest для логирования HTTP-запросов, перехват NSKeyedUnarchiver для анализа сериализованных данных и трассировка CoreData запросов через frida-trace. Frida стала доступна для iOS 15–17 с выходом джейлбрейка Dopamine.

IPA-модификация

Реверсинг может включать модификацию IPA с последующей перепаковкой и установкой на устройство. Инструменты: ipatool для распаковки, MachOView для просмотра секций и optool для внедрения кода. После модификации IPA подписывается через ldid или fastlane sigh для установки на джейлбрейкнутое устройство. Для iOS 16+ код-подпись проверяется на уровне Secure Enclave, и модифицированный IPA не запустится на non-jailbroken устройстве.

// Frida: перехват HTTP-запросов в iOS приложении
if (ObjC.available) {
    let NSURLSession = ObjC.classes.NSURLSession;
    let dataTaskWithRequest = ObjC.protocol("NSURLSessionDelegate")
        .method("- URLSession:dataTask:didReceiveData:");
    Interceptor.attach(dataTaskWithRequest.implementation, {
        onEnter(args) {
            let data = ObjC.Object(args[3]);
            console("[HTTP Response]", data.toString());
        }
    });
}

Методы защиты от reverse engineering

Защита от обратной разработки строится по принципу layered security: ни один метод не обеспечивает 100% защиты, но комбинация делает реверсинг экономически нецелесообразным.

Обфускация кода

Базовый уровень — ProGuard для Android, который заменяет имена классов и методов на односимвольные. Для усиления используется DexGuard, добавляющий overload induction (несколько методов с разными сигнатурами и одним именем) и шифрование строк AES-256. Обфускация увеличивает время анализа кода с 5 минут до 5–20 часов в зависимости от уровня. DexGuard дополнительно запутывает flow управления, делая код нечитаемым для jadx.

Шифрование констант

Все строковые константы — URL, ключи, токены, SQL-запросы — шифруются на этапе сборки и расшифровываются в runtime. Это защищает от статического анализа strings DEX-файла. Злоумышленник, запустивший strings app.apk, не увидит ни одного API-эндпоинта. Даже после декомпиляции все строки выглядят как двоичные данные. Для каждой строки можно использовать отдельный ключ, что усложняет деобфускацию.

RASP и контроль целостности

RASP-агент внутри приложения обнаруживает Frida и отладку в runtime. Контроль целостности через SHA-256 хеш APK предотвращает запуск модифицированной версии приложения. Если хеш APK не совпадает с эталонным (сохранённым в нативном слое) — приложение завершается. Это блокирует атаки, основанные на модификации APK, включая репакеджинг.

Серверная защита

Критическая бизнес-логика должна выполняться на сервере, а не на клиенте. Даже если злоумышленник полностью декомпилирует приложение, серверный код остаётся недоступным. Серверная валидация всех запросов и параметров предотвращает эксплуатацию уязвимостей, найденных в ходе реверсинга. Серверная аттестация через Play Integrity API или App Attest подтверждает, что запрос приходит от подлинного, немодифицированного приложения.