Hacking Android

Guía completa de pentesting y ciberseguridad móvil elaborada por Srinivasa Rao Kotipalli y Mohammed A. Imran, centrada en el análisis de vulnerabilidades, auditoría de aplicaciones y ataques al sistema operativo Android (enfocada en las versiones de Android 5.0 Lollipop y 6.0 Marshmallow con herramientas sobre Kali Linux). Está dirigida a pentesters éticos, auditores de seguridad y desarrolladores Android de nivel intermedio que conocen los conceptos básicos del desarrollo de software y redes y buscan evaluar de forma ofensiva la seguridad de sus aplicaciones y dispositivos.

El contenido cubre el ciclo completo de una prueba de penetración móvil: desde el montaje de un laboratorio con emuladores AVD y terminales físicos rooteados hasta la auditoría avanzada. Detalla el análisis estático mediante ingeniería inversa con herramientas como apktool, dex2jar, JD-GUI y la suite automatizada QARK (Quick Android Review Kit). Enseña el análisis dinámico y la explotación de componentes de Android (Activities, Services, Broadcast Receivers y Content Providers vulnerables a inyección SQL y directory traversal) utilizando Drozer. Asimismo, aborda el hooking de métodos en tiempo de ejecución con Cydia Substrate, Introspy y Frida, la interceptación de tráfico HTTP/HTTPS mediante Burp Suite con evasión de SSL Pinning (usando AndroidSSLTrustKiller), el análisis y creación de malware básico con reverse shell, y técnicas de bypass de patrones de bloqueo y contraseñas (gesture.key).

La metodología del libro es eminentemente práctica: se apoya en aplicaciones de prueba intencionadamente vulnerables para practicar ataques client-side, server-side e inspección de bases de datos SQLite en vivo. Su mayor mérito radica en conectar los riesgos del estándar OWASP Mobile Top 10 con herramientas concretas y comandos reales ejecutados en el terminal. Deja fuera el desarrollo de interfaces y lógica de negocio tradicional para priorizar la explotación ética. Si bien herramientas como Drozer o Cydia Substrate han sido sustituidas en gran medida por Frida, Objection y MobSF en auditorías contemporáneas, la base metodológica de reversing y modelado de amenazas sigue siendo sumamente instructiva.