tutorials2026-11-126 menit

Audit Keamanan APK & Inspeksi Protokol Lokal dengan jadx + adb

Alur kerja memeriksa kebocoran API key, hardcoded IP LAN, dan validasi OTA update endpoint pada build APK Android sebelum rilis publik.

#ReverseEng#Android

Memeriksa Biner Sebelum Masuk APK Armory

Sebelum sebuah file .apk ditandatangani untuk rilis publik, lakukan audit statis cepat untuk memastikan tidak ada kredensial sensitif, endpoint debugging lokal (192.168.x.x atau trycloudflare.com), atau flag debuggable="true" yang tertinggal.

apk-audit.sh BASH

# 1. Ekstrak & dekompilasi dengan jadx
jadx --no-res -d ./audit-src ./app-release.apk

# 2. Cari string mencurigakan (API keys, LAN IP, tunnel sementara)
grep -rnE "sk_live_|AIza|trycloudflare\.com|http://192\.168\.|http://10\." ./audit-src/

# 3. Cek signing certificate & SHA-256 fingerprint
apksigner verify --print-certs ./app-release.apk

Inspeksi Trafik OTA Update & Manifest

Periksa konfigurasi network_security_config.xml di APK agar cleartextTrafficPermitted="false" aktif untuk build produksi, sehingga endpoint pembaruan seperti /update.json hanya menerima sertifikat HTTPS yang sah.

network_security_config.xml XML

<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
  <base-config cleartextTrafficPermitted="false" />
</network-security-config>

Selalu cantumkan nilai SHA-256 resmi di halaman unduhan agar pengguna bisa memverifikasi file yang terunduh identik bit-demi-bit dengan build asli developer.