Mobile AppSec World

2021-06-28 19:46:20 Развитие механизмов безопасности Android

Я наконец-то доделал статью по развитию безопасности в Android от версии к версии, что добавлялось, что улучшалось, а может и ухудшалось в каждой новой версии этой замечательной операционной системы.

Статья получилось достаточно интересного, на мой взгляд, формата. Изначально она планировалась, как техническая с большим количеством различных деталей, но в итоге, по мере написания, я понял, что стоит уделить внимание и более общим вещам.
В этой статье можно найти информацию и про технические вещи и про изменения для пользователей.

Для себя отметил несколько новых и интересных деталей, о которых не подозревал до написания

Необычный формат, посмотрим, насколько это зайдет, но надеюсь, что понравится!

#Habr #Android #Security Открыть/Комментировать

2021-06-24 16:45:37 Обновление курсов и книг по безопасности и анализу мобильных приложений

Очередное обновление библиотеки!

На этот раз были добавлены книги по Android / iOS и два больших курса (спасибо @wusero)!

Книги:
- Android глазами хакера
- Android Security Cookbook
- iOS Application Security
- The Mac Handbook
- Beginner Guide to Exploitation on ARM 1
- Beginner Guide to Exploitation on ARM 2

Курсы:
- Pentester Academy - Pentesting iOS Applications
- GeekBrains - Безопасность мобильных приложений

Приятного чтения и просмотра!

#Books #Security #Android #iOS #Cources Открыть/Комментировать

2021-06-23 22:47:00 Вебинар по безопасной разработке

30-го июня в 21:00 по московскому времени (или в 14:00 по eastern time) пройдет двухчасовой вебинар по лучшим практикам в написании безопасного кода для мобильных приложений от компании NowSecure.

Судя по описанию должно быть достаточно интересно и познавательно, обещают осветить вопросы по следующим темам:
- Данные, хранящиеся в небезопасном месте
- Некорректная реализация сетевого взаимодействия
- Небезопасная аутентификация и авторизация
- Небезопасные практики кодинга (интересно, что они имеют ввиду)
- Защита от реверса

Я постараюсь быть, хоть время и позднее для нашего часового пояса. Всегда полезно ходить на подобные мероприятия, что-то новое определенно узнаешь и где-то тебя натолкнут на правильные мысли.

Ну или будем надеяться, что будет запись

#webinar #securecoding Открыть/Комментировать

2021-06-22 10:22:00 ​​Занятные CTF под Android

Нашёл тут серию статей про прохождению CTF при помощи Frida. Пока что есть первая и вторая части, но вроде автор собирается писать ещё.

В целом, writeup неплохие, с подробными комментами и описанием того, что и почему нужно делать для прохождения заданий.

Но больше всего мне понравились задания и сам CTF под названием hpandro. Распространяются через Google Play, есть большое количество самых различных задач в виде отдельных приложений, а на сайте можно зарегистрироваться и отправлять флаги и даже есть scoreboard!

Но больше всего мне запомнился комментарий под одним из приложений, наверное человек не смог его решить

#android #ctf Открыть/Комментировать

2021-06-21 23:52:44 Отключение WiFi в iOS

В Android 12 сделали программное отключение доступа к камере и микрофону для всех приложений, iOS не мог этого так оставить и допустил функционал по отключению WiFi. Правда, скорее всего случайно и с использованием бага в форматной строке

Всё очень просто, если на iPhone подключиться к сети с SSID “%p%s%s%s%s%n”, то устройство полностью отключит модуль WiFi :))

К сожалению, не увидел, на каких именно устройствах и версиях ОС это работает, но чем не повод проверить и создать такую открытую сеть? например на какой-нибудь конференции….

#iOS #WiFi #Bug Открыть/Комментировать

2021-06-18 22:57:49 Выполнение произвольного кода в приложении Google

Отличная пятничная статья (хоть она и вышла несколько дней назад, но для меня она пятничная) про очень крутую уязвимость в приложении Google от уникальной компании Oversecured!

Уязвимость persistent local code execution. позволяет выполнить произвольный код в контексте приложения Google, а это значит получить очень и очень широкие возможности в системе. При этом достаточно всего одного запуска вредоносного приложения, для того, чтобы зловредный модуль остался в системе и делал свои темные дела.

Что мне нравится в этой статье, так это реально крутая связка уязвимостей, которая привела к возможности проведения подобной атаки. И более того, про каждый элемент этой цепочки можно прочитать в соответствующей статье от Oversecured. И это действительно круто. Если вы еще не читали про различные техники эксплуатации - советую начать с этой статьи и прочитать все кросс-ссылки, это безумно интересно.

Всем приятного чтения и хороших выходных!

#Google #Vulnerability #Oversecured Открыть/Комментировать

2021-06-17 10:38:28 Разбор уязвимости в Android Verified Boot Process на примере... велотренажера

В Android есть процесс доверенной загрузки, который впервые появился в Android 4.4 (но был настолько ужасным, что им никто не пользовался), и в последствии был существенно доработан в 6-й и 7-й версиях Android. И хотя он недотягивает до цепочки доверия в iOS, но тем не менее работает

И вот, в компании McAfee обнаружили инересну багу в велотренажерах, на которых установлен тот самый Android) Что позволяло при физическом доступе перезалить модифицированный образ загрузчика и получить удаленный root-доступ к велотренажерам. А там и запись видео со звуком, слив информации и прочие веселые вещи.

На самом деле статья интересна не конкретно велотренажерами, а тем, как в ней описан процесс доверенной загрузки, как он работает и шаги, которые были предприняты, чтобы выявить проблемы.

Можно почитать, интересный материал за чашкой кофе с утра

#Android #VerifiedBoot #Vulnerability #Sport Открыть/Комментировать

2021-06-17 10:25:57 Вступительная статья по статическому анализу Android-приложений

Весьма неплохая вступительная статья о статическом анализе Android-приложений с видео и текстовым описанием того, что происходит.

Заядлым реверсерам и опытным безопасникам она мало поможет, так как ничего особо нового там нет. Но тем, кто начинает свой путь и хочет более подробно разобраться на конкретном примере - может быть полезно.

В примере разобрана одна из уязвимостей приложения InsecureBankV2

#SAST #Reverse #decompile #junior Открыть/Комментировать

2021-06-14 14:50:09 ⁤Мне наконец-то удалось плотно поработать с реверсом Android-приложений. Если раньше хватало Burp'а для анализа трафика, чтобы посмотреть простенькие запросы к API (для OSINT'а, например), а дальше заглядывать было лень, то в этот раз сама жизнь заставила и пришлось немного углубиться в тему.

В основном, я использовал Frid'у (просто незаменимый и очень-очень удобный фреймворк) и некоторые тулзы для сборки/декомпиляции/подписи/просмотра исходного кода, о которых, возможно, напишу в следующих постах.

Для тех, кто хотел вкатиться, вот все ресурсы, которые были мною использованы для обучения, думаю, будет полезно.

Вводные статьи по Java:
https://docs.oracle.com/javase/tutorial/
https://beginnersbook.com/java-tutorial-for-beginners-with-examples/
https://www.tutorialspoint.com/java/java_tutorial.pdf

Шпаргалка по Smali на русском:
*выше на канале*

Цикл видосов по Android Reverse Engineering:




Канал "Android AppSec" на Youtube:
https://www.youtube.com/channel/UC5bY16WSEa_ttTPqj8aTeIw/videos

Подробнейшая инструкция по настройке рабочего окружения:
https://blog.cobalt.io/getting-started-with-android-application-security-6f20b76d795b

Документация Frida + Codeshare и сниппеты:
https://frida.re/docs/javascript-api/
https://codeshare.frida.re/
https://github.com/iddoeldor/frida-snippets

Бложики со статьями, наполненные одами о Frida:
https://grepharder.github.io/blog/
https://neo-geo2.gitbook.io/adventures-on-security/
https://joshspicer.com/android-frida-1
https://11x256.github.io/
(на русском: https://forum.reverse4you.org/t/android-frida/1128)

Статья на Zennolab о Frida:
https://zennolab.com/discussion/threads/android-na-post-get-s-pomoschju-frida-server-burpsuite-i-bonus.79264/

Статья на Xakep о Frida:
https://xakep.ru/2018/03/19/android-frida/

Самые полезные и полные гайды с большим количеством примеров (Tiktok и Frida):
https://www.fatalerrors.org/a/code-and-example.html
https://www.fatalerrors.org/a/0d901j8.html

Райтапы ØxＯＰＯＳɆＣ, связанные с криптографией:
https://inesmartins.github.io/oposec-don-joe/
https://inesmartins.github.io/oposec-secrets/
https://inesmartins.github.io/htb-crypto-challenge-call/
https://inesmartins.github.io/htb-crypto-challenge/
https://inesmartins.github.io/oxopos-c-summer-challenge-2020-web-challenges-write-up/
https://inesmartins.github.io/0xoposec/

Отдельно выделю их же цикл статей "Undeground Leaks":
https://inesmartins.github.io/oposec-underground-leaks/
https://inesmartins.github.io/oposec-underground-leaks-part-ii/
https://inesmartins.github.io/opoleaks-underground-leaks-part-iii/

Если есть что добавить, кидайте в обратную связь, - запилю отдельный пост. Открыть/Комментировать

2021-06-14 14:50:09 Очень классный пост в одном из каналов нарыл @EZ3K1EL.

Такой микс, всё в одном посте :) Открыть/Комментировать