Yansılardan APK'leri güvenli şekilde nasıl indirilir, kontrol edilir ve kurulur

Kısa cevap: Sadece güvenilir yansılardan HTTPS üzerinden indirin, SHA-256'yı karşılaştırın, VirusTotal'da tarayın, imzayı apksigner ile kontrol edin ve emülatörde veya yedek cihazda kurmadan önce AndroidManifest'i inceleyin — ardından ADB aracılığıyla veya geçici olarak izin verilmiş uygulama üzerinden kurun.

İndirmeden önce: Kaynak seçimi ve hazırlık

• İyi itibara sahip ve HTTPS kullanan siteleri tercih edin; yayınlanan sağlama toplamlarını ve imza bilgilerini arayın.
• Kırık/modifiye edilmiş APK'leri (cracked, mod) indirmeyin — bunlarda genellikle istenmeyen kod gizlenir.
• Araçları hazırlayın: OpenJDK/Android SDK (apksigner, apkanalyzer), sha256sum/Get-FileHash, çevrimiçi tarayıcıya erişim (VirusTotal). Hızlı test için elinizin altında bir emülatör veya eski bir telefon bulundurun.

APK Kontrolü: Adım adım kontrol listesi

1. İndirme ve sağlama toplamı kontrolü

• app.apk dosyasını HTTPS üzerinden indirdiniz. Site SHA-256 yayınlıyorsa — karşılaştırın: sha256sum app.apk veya PowerShell'de Get-FileHash. Sağlama toplamı kontrolü olmadan — risk artar.

2. Hızlı tarama

• Dosyayı veya hash'ini çevrimiçi tarayıcıya (VirusTotal) yükleyin. Çok sayıda tespit — ciddi bir sinyal; nadir/tekil tespitler ek kontrol gerektirir.

3. İmza kontrolü

• apksigner kullanın: apksigner verify --print-certs app.apk. Sertifika parmak izini önceki sürümlerle karşılaştırın (varsa). Aynı package name ile imza değişikliği — reddetmek için gerekçe.

4. Manifest ve izinlerin incelenmesi

• AndroidManifest.xml'i okumak için apkanalyzer manifest print app.apk veya apktool d app.apk. android:debuggable, olağandışı servisler, receiver'lar ve uygulamanın işleviyle uyumsuz tehlikeli izinlere dikkat edin.

5. Statik analiz (isteğe bağlı)

• Sabit URL'ler, anahtarlar, root/exec çağrılarını aramak için JADX veya apktool. Çoğu kullanıcı için önceki adımlar yeterlidir.

Kurulum ve kurulum sonrası kontrol

• Kurulum iznini sadece kurulumu yaptığınız uygulamaya verin ve sadece geçici olarak (Android 8+).
• Önce AVD emülatöre veya yedek telefona kurun. Davranışı gözlemleyin: ağ istekleri, pil tüketimi, açılır pencereler.
• ADB üzerinden kurulum günlük tutma açısından kullanışlıdır:
  • adb install -r app.apk
  • adb logcat — olağandışı davranışı takip edin.
• Kurulumdan sonra "bu kaynaktan yükleme" iznini devre dışı bırakın ve Play Protect'i kontrol edin. Şüphe durumunda — uygulamayı kaldırın, şifreleri güvenli bir cihazdan değiştirin.

Sık yapılan hatalar

• Test etmeden ana cihaza kurulum.
• APK imzasını veya sağlama toplamını görmezden gelmek.
• Bilinmeyen kaynaklardan yüklemeyi sürekli açık tutmak.
• Tekil taramaya güvenmek — imza ve manifest kontrolünün yerini tutmaz.

SSS

• İmzayı Play sürümüyle nasıl karşılaştırırım?
  Play'den APK alın (yedekleme/dışa aktarma) veya bilinen sürümün sertifika parmak izini apksigner verify --print-certs çıktısıyla karşılaştırın.

• Gizlilik nedeniyle dosyayı VirusTotal'a yüklememek mümkün mü?
  Sadece dosya hash'ini yükleyebilirsiniz; birçok hizmet APK'nin kendisini göndermeden SHA-256 ile kontrolü destekler.

• Tek bir araç yeterli mi (örneğin sadece sha256sum)?
  Hayır. Hash, yayınlanan değere göre bütünlüğü doğrular ancak kötü amaçlı kodu tespit etmez. Hash, tarama ve imza kontrolünü birleştirin.

Gerekirse, SHA-256 otomatik kontrolü + hash'in çevrimiçi tarayıcıya gönderilmesi için bir betik hazırlayabilirim veya belirli bir dosya için apksigner/VirusTotal çıktısını yorumlamanıza yardımcı olabilirim.