Mobil Geliştirmede Reverse Engineering: Nedir, Araçlar ve Analiz Yöntemleri

Reverse Engineering Nedir?

Reverse Engineering (tersine mühendislik), bir uygulamanın ikili temsilinden özelliklerini, mantığını ve yapısını geri kazanmayı amaçlayan bir yazılım analizi disiplinidir. Mobil uygulamalar için analiz nesneleri, derlenmiş kod, kaynaklar, bildirimler ve sertifikalar içeren APK dosyaları (Android) ve IPA dosyalarıdır (iOS). Tersine mühendisliğin sonucu, algoritmaların, protokollerin, şifreleme anahtarlarının, API şemalarının ve iş mantığının çıkarılmasıdır.

Tersine mühendisliğin hedefleri meşru ve gayrimeşru olarak ikiye ayrılır. Meşru: güvenlik araçları oluşturmak için kötü amaçlı yazılım analizi, güvenlik açıkları için kendi uygulamalarını denetleme, kapalı protokollerle uyumluluğu sağlama, patent analizi ve eğitim. Gayrimeşru: fikri mülkiyet hırsızlığı, lisans kısıtlamalarını atlatma, korsan kopyalar oluşturma ve kullanıcı verilerini çalmak için uygulamaları değiştirme. Google Play Protect (2025)'e göre, bankacılık uygulamalarının kötü amaçlı değişikliklerinin %78'i, tersine mühendislik yoluyla işlenmiş orijinal APK temel alınarak oluşturulur.

Tersine mühendislik metodolojisi iki ana yön içerir: statik analiz (uygulamayı çalıştırmadan) ve dinamik analiz (yürütme sırasında). Her yaklaşım farklı bir bilgi düzeyi sağlar. Statik analiz, kodun tam bir resmini verir, ancak çalışma zamanı verileri olmadan. Dinamik analiz, gerçek davranışı, veri akışını ve ağ çağrılarını ortaya çıkarır, ancak yalnızca belirli bir yürütme senaryosu içinde. Profesyonel tersine mühendislik her zaman her iki yaklaşımı da birleştirir.

Statik Analiz Araçları

Statik analiz, tersine mühendisliğin ilk aşamasıdır. Orijinal APK veya IPA paketten çıkarılır ve her bileşen ayrı ayrı analiz edilir. Ana hedefler: DEX bayt kodu, kaynaklar, bildirim, yerel kütüphaneler (.so, .dylib) ve meta veriler.

jadx — DEX'ten Java'ya tersine derleyici

jadx, Android uygulamalarının statik analizi için ana araçtır. DEX bayt kodunu minimum kayıpla okunabilir Java koduna dönüştürür. jadx şunları destekler: çoklu dex tersine derleme, lambda ve satır içi Kotlin sınıflarını tanıma ve Gradle projesine aktarma. Karartılmış kod (ProGuard) için jadx, a, b, c adlarıyla kod gösterir, ancak sınıf yapısı ve çağrı sırası korunur. Bağımsız testlere göre jadx, karartma olsa bile kodun %85–92'sini doğru şekilde tersine derler.

apktool — kaynak çıkarma

apktool, APK'yı smali koduna (DEX assembler) dönüştürür ve kaynakları okunabilir biçimde geri yükler: AndroidManifest.xml, AXML'den okunabilir XML'e dönüştürülür, düzenler XML işaretlemesine, strings.xml düz metne dönüşür. apktool, kaynakları değiştirmeye ve APK'yı yeniden oluşturmaya izin verir. apktool ile paketten çıkarma ve kaynakları değiştirmeden sonra, uygulama değiştirilmiş içerikle yüklenebilir.

Ghidra — yerel kütüphane analizi

Ghidra (NSA), Android'de .so kütüphanelerini ve iOS'te .dylib'i analiz etmek için gerekli bir tersine mühendislik framework'udur. Ghidra, ARM64 kodunu tersine çevirir, C sözde kodunu yeniden oluşturur ve çağrı grafikleri oluşturur. Mobil tersine mühendislik için Ghidra, şifreleme ve DRM mekanizmalarının yerel uygulamalarını analiz etmek için kullanılır. Ghidra, analizi otomatikleştirmek için Python ve Java'da komut dosyası oluşturmayı destekler.

# APK paketten çıkarma ve tersine derleme
$ jadx -d output_dir app.apk

# apktool ile kaynak paketten çıkarma
$ apktool d app.apk -o app_unpacked

# Ghidra ile yerel kütüphane analizi
$ ghidra app.apk/lib/arm64-v8a/libnative.so

# DEX'te dizi sabitlerini arama
$ strings classes.dex | grep -i api_key

Dinamik Analiz Araçları

Dinamik analiz, çalışan bir uygulama üzerinde gerçekleştirilir. Analizör, sürece bağlanır ve gerçek zamanlı olarak işlev çağrılarını, argümanları ve dönüş değerlerini yakalar.

Frida — evrensel enstrümantasyon aracı

Frida, mobil uygulamaların dinamik analizi için önde gelen araçtır. Frida, uygulama sürecine (Android ART veya iOS uygulaması) bir JavaScript motoru enjekte eder ve hem Java/Objective-C hem de C/C++ işlev çağrılarını yakalamaya izin verir. Frida ile tersine mühendisler şunları yapabilir: parametrelerle AES.decrypt() yönteminin tüm çağrılarını günlükleme, dönüş değerlerini keyfi olarak değiştirme, Universal Android SSL Unpin aracılığıyla SSL-pinning'i devre dışı bırakma ve Stalker aracılığıyla yerel çağrıları izleme. Frida, APK/IPA'yı değiştirmeden çalışır ve bu da onu sızma testleri için vazgeçilmez kılar.

Objection — Frida sarmalayıcısı

Objection, JavaScript komut dosyaları yazmadan yaygın tersine mühendislik görevleri için hazır komutlar sağlar: disable-pinning (SSL pinning'i devre dışı bırakma), dump-keychain (iOS), explore (sınıf hiyerarşisinde gezinme), memory search (bellekte dizi arama). Objection, tek bir kod satırı olmadan tam dinamik analiz gerçekleştirmeye izin verir. iOS uygulamaları için Objection, NSURLSession, CFNetwork ve NSKeyedArchiver çağrılarını otomatik olarak bulur ve günlükler.

Xposed Framework

Xposed, Zygote'taki app_process dosyasını değiştirerek çalışan bir Android framework'udur. Frida'nın aksine, Xposed kurulumdan sonra kök erişimi gerektirmez. Xposed modülleri, herhangi bir uygulamadaki yöntem çağrılarını yakalayabilir. Tersine mühendislik için Xposed, uzun vadeli analiz için uygundur: modül kurulur ve sürekli çalışarak uygulamanın farklı senaryolardaki davranışını günlükler. Xposed, Android 8.1'e kadar destekler; Android 9+ için SandHook tabanlı EdXposed kullanılır.

// Frida: bir uygulamada decrypt() yöntemini yakalama
let aesClass = Java.use("javax.crypto.Cipher");

aesClass.doFinal.overload(
    "[B", "int", "int"
).implementation = function(
    input, offset, len
) {
    console("[AES] decrypt called, len=" + len);
    return this.doFinal(input, offset, len);
};

Bir Android Uygulamasının Tersine Mühendislik Süreci

Standart tersine mühendislik iş akışı, her biri belirli bir düzeyde bilgi sağlayan sıralı adımlardan oluşur.

Adım 1: Bilgi Toplama

Analist, APK'yı meta veri düzeyinde inceler: targetSdk, uses-permission (hangi izinlerin istendiği), intent-filter ve dışa aktarılan bileşenler. İzinler, hangi API'lerin kullanıldığını ortaya çıkarabilir (android.permission.CAMERA → kamera, android.permission.RECORD_AUDIO → ses). Dışa aktarılan etkinlikler, kimlik doğrulama olmadan giriş noktalarını belirler. Bu aşama aapt veya ApkAnalyzer aracılığıyla gerçekleştirilir ve 1–2 dakika sürer.

Adım 2: DEX Tersine Derleme

APK paketten çıkarılır ve classes.dex (veya çoklu dex) jadx'e girilir. Çıktı, paketler halinde düzenlenmiş Java/Kotlin kodudur. Analist, anahtar sınıfları arar: CryptoUtils, ApiClient, AuthManager, DatabaseHelper ve hangi algoritmaların kullanıldığını kontrol eder. Kod AES/CBC/PKCS5Padding gibi dizeler içeriyorsa, uygulama şifreleme kullanıyor demektir ve anahtar bulunmalıdır. Bu aşamada, sabit kodlanmış anahtarlar, API URL'leri, OAuth belirteçleri ve sırlar belirlenir. Karartma olmadan, tüm uygulama kodu normal bir Java projesi gibi okunur.

Adım 3: Trafik Analizi

SSL-pinning'i devre dışı bırakmak için Frida veya Objection kurulduktan sonra analist, uygulamayı başlatır ve Burp Suite veya mitmproxy aracılığıyla ağ trafiğini yakalar. Trafik verileri API şemasını ortaya çıkarır: hangi uç noktalar, hangi parametreler ve hangi biçimde. Mümkünse, analist istekleri değiştirir ve hatalı veya kötü amaçlı verilere sunucunun yanıtını kontrol eder. Sunucu tarafı doğrulamasının olmaması, bu adımda keşfedilen doğrudan bir güvenlik açığıdır.

Adım 4: data.json'a Kaydetme

Analiz sonuçları yapılandırılmış bir biçimde kaydedilir. Bulunan her güvenlik açığı noktası için şunlar belirtilir: sınıf ve yöntem, güvenlik açığı açıklaması, istismar vektörü ve düzeltme önerisi. Bu veri kümesi geliştirme ekibine iletilir veya bir sızma testi raporu hazırlamak için kullanılır. Otomatik ortamlarda (MobSF), rapor statik ve dinamik analiz sonuçlarına dayalı olarak otomatik olarak oluşturulur.

iOS Uygulamalarında Tersine Mühendisliğin Özellikleri

iOS uygulamalarının tersine mühendisliği, Apple'ın daha sıkı güvenlik mimarisi ve standart cihazlarda dosya sistemine doğrudan erişim eksikliği nedeniyle Android'den daha zordur. iOS analizi için jailbreak gereklidir.

Mach-O Statik Analizi

IPA arşivi, Apple'ın evrensel çalıştırılabilir dosya biçimi olan bir Mach-O ikili dosyası içerir. Tersine derleme için Hopper Disassembler veya IDA Pro kullanılır. Minimum kayıpla Java'ya tersine derlenen Android DEX'in aksine, Mach-O, daha düşük doğrulukla C sözde koduna yeniden oluşturulan yerel ARM64 kodu içerir. Hopper %60–70 yeniden oluşturma elde eder; geri kalanı derleme düzeyinde analiz edilmelidir.

iOS için Frida ile Dinamik Analiz

iOS'te Frida, jailbreak ve frida-server kurulumu gerektirir. Bağlantıdan sonra Frida, API mesaj yönlendirme yoluyla Objective-C yöntemlerini yakalar. iOS uygulamaları için tipik bir senaryo şunları içerir: HTTP isteklerini günlüklemek için NSURLSession.dataTaskWithRequest'i yakalama, serileştirilmiş verileri analiz etmek için NSKeyedUnarchiver'ı yakalama ve frida-trace aracılığıyla CoreData sorgularını izleme. Frida, Dopamine jailbreak'inin yayınlanmasıyla iOS 15–17 için kullanılabilir hale geldi.

IPA Değişikliği

Tersine mühendislik, IPA'nın değiştirilmesini ve ardından yeniden paketlenmesini ve cihaza yüklenmesini içerebilir. Araçlar şunları içerir: paketten çıkarmak için ipatool, bölümleri görüntülemek için MachOView ve kod enjeksiyonu için optool. Değişiklikten sonra IPA, jailbreak yapılmış bir cihazda kurulum için ldid veya fastlane sigh aracılığıyla imzalanır. iOS 16+ için kod imzası Secure Enclave düzeyinde doğrulanır ve değiştirilmiş bir IPA, jailbreak yapılmamış bir cihazda çalışmaz.

// Frida: bir iOS uygulamasında HTTP isteklerini yakalama
if (ObjC.available) {
    let NSURLSession = ObjC.classes.NSURLSession;
    let dataTaskWithRequest = ObjC.protocol("NSURLSessionDelegate")
        .method("- URLSession:dataTask:didReceiveData:");
    Interceptor.attach(dataTaskWithRequest.implementation, {
        onEnter(args) {
            let data = ObjC.Object(args[3]);
            console("[HTTP Response]", data.toString());
        }
    });
}

Tersine Mühendislikten Korunma Yöntemleri

Tersine mühendislikten korunma, katmanlı güvenlik ilkesini izler: hiçbir tek yöntem %100 koruma sağlamaz, ancak bir kombinasyon tersine mühendisliği ekonomik olarak uygulanamaz hale getirir.

Kod Karartma

Temel düzey, sınıf ve yöntem adlarını tek karakterli adlarla değiştiren Android için ProGuard'dır. Gelişmiş koruma için DexGuard, aşırı yükleme tümlemesi (farklı imzalara ve aynı ada sahip birden çok yöntem) ve AES-256 dizi şifrelemesi ekler. Karartma, kod analizi süresini seviyeye bağlı olarak 5 dakikadan 5–20 saate çıkarır. DexGuard ayrıca kontrol akışını karartarak kodu jadx için okunamaz hale getirir.

Sabit Şifreleme

Tüm dizi sabitleri — URL'ler, anahtarlar, belirteçler, SQL sorguları — derleme zamanında şifrelenir ve çalışma zamanında şifresi çözülür. Bu, DEX dosyalarındaki dizelerin statik analizine karşı korur. app.apk'de strings çalıştıran bir saldırgan hiçbir API uç noktasını görmez. Tersine derlemeden sonra bile, tüm dizeler ikili veri olarak görünür. Her dizi ayrı bir anahtar kullanabilir, bu da karartma çözmeyi zorlaştırır.

RASP ve Bütünlük Kontrolleri

Uygulama içindeki bir RASP ajanı, çalışma zamanında Frida'yı ve hata ayıklamayı algılar. APK'nın SHA-256 karması yoluyla bütünlük kontrolleri, uygulamanın değiştirilmiş bir sürümünün çalışmasını engeller. APK karması, referans karmayla (yerel katmanda depolanan) eşleşmezse uygulama sonlanır. Bu, yeniden paketleme dahil APK değişikliğine dayalı saldırıları engeller.

Sunucu Tarafı Koruma

Kritik iş mantığı, istemcide değil sunucuda yürütülmelidir. Bir saldırgan uygulamayı tamamen tersine derlese bile, sunucu kodu erişilemez durumda kalır. Tüm isteklerin ve parametrelerin sunucu tarafı doğrulaması, tersine mühendislik sırasında bulunan güvenlik açıklarının istismar edilmesini önler. Sunucu onayı (Play Integrity API veya App Attest aracılığıyla), isteğin gerçek, değiştirilmemiş bir uygulamadan geldiğini onaylar.