MobSF ile Android APK Statik Analizi 2026: Kurulum, Tarama ve Rapor Okuma Rehberi

Merhaba arkadaşlar,

Bir Android uygulamasının güvenli olup olmadığını anlamanın en hızlı yollarından biri statik analizdir: uygulamayı çalıştırmadan, paketinin içindeki kodu, izinleri ve yapılandırmayı incelemek. Mobile Security Framework (MobSF), açık kaynak ve ücretsiz bir mobil uygulama güvenlik analiz çerçevesidir; APK dosyalarını sürükle-bırak kolaylığında tarar. Bu rehberde MobSF'i resmi belgelerine dayanarak Docker ile kurup, kendi geliştirdiğiniz veya analiz izniniz olan bir APK'yı nasıl statik analiz edeceğinizi ve raporu OWASP MASVS çerçevesiyle nasıl okuyacağınızı anlatıyorum. Yalnızca kendi uygulamalarınızı veya yazılı izin aldığınız uygulamaları analiz edin.

Konuda Anlatılacaklar

1. Statik analiz nedir, MobSF ne yapar?
   
2. Docker ile kurulum
   
3. APK yapısı ve analize hazırlık
   
4. Statik tarama adımları
   
5. Raporu okuma: izinler, sertifika, kod
   
6. OWASP MASVS/MASTG ile eşleştirme
   
7. Komut satırı ve CI entegrasyonu
   

Statik Analiz Nedir, MobSF Ne Yapar?

Statik analiz, uygulamayı çalıştırmadan paketini inceler. MobSF bir APK'yı açar; AndroidManifest.xml'den izinleri ve bileşenleri çıkarır, imza sertifikasını kontrol eder, sabit kodlanmış sırları (API anahtarı, parola) arar, güvensiz kod desenlerini işaretler ve bir güvenlik skoru üretir. Dinamik analiz (çalışırken inceleme) de destekler ama bu rehberde statik tarafa odaklanıyoruz.


Docker ile Kurulum

MobSF'i çalıştırmanın en temiz yolu Docker'dır. Resmi belgelerdeki komutlar:


Ardından tarayıcıda http://127.0.0.1:8000 adresini açın. Resmi belgelere göre Docker imajı yönetici kullanıcı bilgilerini mobsf / mobsf olarak ayarlar; ilk girişten sonra bu parolayı değiştirin. MobSF'i kendi bilgisayarınızda, yerel ağa kapalı biçimde çalıştırın; internete açmayın.

APK Yapısı ve Analize Hazırlık

Bir APK aslında bir ZIP arşividir. İçinde classes.dex (derlenmiş kod), AndroidManifest.xml, kaynaklar ve imza bulunur. MobSF bunları sizin için çözer, ama yapıyı bilmek raporu okumayı kolaylaştırır. Kendi test APK'nızın imzasını komut satırından da inceleyebilirsiniz (Android SDK'nın resmi aracı apksigner ile):


Analiz edeceğiniz APK yalnızca kendinize ait olmalı ya da sahibinden yazılı izin almış olmalısınız. Mağazadan indirdiğiniz üçüncü taraf bir uygulamayı tersine mühendislik yapmak, uygulamanın lisans koşullarını ve yasaları ihlal edebilir.

Statik Tarama Adımları

MobSF arayüzünde analiz çok basittir:

1. Ana sayfadaki yükleme alanına APK dosyasını sürükleyip bırakın.
   
2. MobSF otomatik olarak statik analizi başlatır ve birkaç dakika içinde rapor üretir.
   
3. Rapor üstünde bir güvenlik skoru ve özet görürsünüz.
   
4. Sol menüden izinler, manifest analizi, kod analizi gibi bölümlere geçersiniz.
   

Raporu Okuma: İzinler, Sertifika, Kod

Raporun en önemli bölümleri:

• İzinler (Permissions): Uygulamanın istediği izinler. SMS okuma, konum, kişiler gibi "tehlikeli" izinler işlevle orantısızsa dikkat edin. İşlevi dosya not tutmak olan bir uygulamanın SMS iznine ihtiyacı yoktur.
  
• Sertifika (Signer): İmza algoritması ve geçerlilik. Zayıf imza şeması (yalnızca v1) veya hata ayıklama (debug) sertifikasıyla imzalı bir sürüm üretim için risklidir.
  
• Manifest analizi: exported=true olan bileşenler (activity, service, receiver, provider) dışarıdan erişilebilir; gereksizse kapatılmalıdır. android:debuggable="true" ve izin veren clear-text trafik ayarları da burada işaretlenir.
  
• Kod analizi: Sabit kodlanmış API anahtarları, zayıf kriptografi (ECB modu, sabit IV), güvensiz rastgelelik, SSL doğrulamasını atlayan kod gibi desenler.
  

MobSF her bulguyu bir açıklama ve genellikle ilgili OWASP referansıyla sunar; raporu baştan sona değil, önce yüksek önemli bulgulardan okuyun.

OWASP MASVS/MASTG ile Eşleştirme

MobSF bulgularını bir çerçeveye oturtmak için OWASP Mobile Application Security projesini kullanın. MASVS (güncel sürüm v2.1.0) kontrolleri tanımlar; MASTG (güncel sürüm v2.0.0) bu kontrolleri sınayan testleri içerir. 2026'da yayımlanan MASWE v1.0.0 ise MASVS kontrolleri ile MASTG testleri arasındaki belirli zayıflıkları numaralandırır (78 zayıflık). Örneğin MobSF'in bulduğu "hassas veri korumasız depolanıyor" bulgusu MASVS-STORAGE kategorisine, oradan ilgili MASWE zayıflığına ve MASTG testine bağlanır. Bu eşleştirme, bulgularınıza standart bir dil ve raporlanabilir bir kimlik kazandırır.


İleri Seviye: Komut Satırı ve CI Entegrasyonu

MobSF bir REST API sunar; bunu CI/CD hattında otomatik tarama için kullanabilirsiniz. MobSF ekibinin açık kaynak aracı mobsfscan ise kaynak kod üzerinde doğrudan statik güvenlik taraması yapar (kod tabanınız elinizdeyse ideal):


mobsfscan, güvensiz kriptografi, sabit kodlanmış sırlar, SSL pinning eksikliği gibi sorunları kaynak kodda işaretler ve CI'da "fail" döndürecek şekilde yapılandırılabilir. Böylece her kod değişikliğinde mobil güvenlik kontrolü otomatik çalışır. Statik analizi, mümkünse dinamik analiz ve manuel test ile birleştirmek en sağlam sonucu verir; hiçbir otomatik araç tek başına tam güvence vermez.

Sonuç

MobSF, bir APK'nın güvenlik durumunu dakikalar içinde ortaya koyan güçlü ve ücretsiz bir araç. Docker ile kurun, varsayılan mobsf/mobsf parolasını değiştirin, kendi uygulamanızı tarayın, izin-sertifika-kod bulgularını önceliklendirin ve hepsini OWASP MASVS/MASTG/MASWE çerçevesine oturtun. CI için mobsfscan ile bunu otomatikleştirin. Siz hangi mobil güvenlik aracını kullanıyorsunuz? Yorumlarda paylaşın.

Kaynakça

• MobSF, Docker ile çalıştırma: https://github.com/MobSF/Mobile-Security...work-MobSF
  
• MobSF belgeleri: https://mobsf.github.io/docs/
  
• mobsfscan: https://github.com/MobSF/mobsfscan
  
• OWASP MASVS: https://mas.owasp.org/MASVS/
  
• OWASP MASTG v2.0.0 duyurusu: https://mas.owasp.org/news/2026/07/04/ma...0-release/
  
• OWASP MASWE v1.0.0 duyurusu: https://mas.owasp.org/news/2026/08/17/ma...0-release/
  
• Android, apksigner: https://developer.android.com/tools/apksigner
  

Yasal Uyarı

Bu rehberdeki analizler yalnızca kendinize ait veya sahibinden yazılı izin aldığınız uygulamalar üzerinde yapılmalıdır. Başkasına ait uygulamaları izinsiz tersine mühendislik veya analiz etmek, lisans ihlaline ve 5237 sayılı Türk Ceza Kanunu'nun 243-245. maddeleri kapsamında sorumluluğa yol açabilir. TurkTeam yalnızca savunma ve eğitim amaçlı paylaşımları destekler.

Görsel: TurkTeam özgün kapak ve diyagramları

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).