سلام بچه‌ها این یه ریپوییه که یه مقدار جالبه، اونم اینه که اپلیکیشن‌هایی که SSL pining دارند میاد داخل خودش به صورت یه جورایی ویچوالیزیشن (حالا بهش ویرچوالیزیشن نمیگنا در واقع داره میاد اپ رو هوک می‌کنه که من ا این اسم بیشتر حال کردم و راحت‌ترم😁😁) میاره بالا و با متدهای LSposed و چیزهای مختلف اون SSL pining رو bypass می‌کنه که بتونید خیلی راحت ترافیک اپلیکیشن رو ببینید. هم برای اندروید، جاوا و کاتلین و هم برای فلاتر هم روش‌هاش هست و کار می‌کنه.
لینک ریپو رو پایین گذاشتم اگه دوست داشتید می‌تونید بردارید و امتحانش کنید.
🔗 GitHub:
https://github.com/0xdad0/ssl-kill-switch-lsposed
#AndroidSecurity #AndroidPentesting #MobileSecurity #SSL #SSLPinning #SSLBypass #BurpSuite #LSPosed #Flutter #OkHttp #WebView #Pentest #AppSec #CyberSecurity #RedTeam
📡 @androidSec_fa
لینک ریپو رو پایین گذاشتم اگه دوست داشتید می‌تونید بردارید و امتحانش کنید.
🔗 GitHub:
https://github.com/0xdad0/ssl-kill-switch-lsposed
#AndroidSecurity #AndroidPentesting #MobileSecurity #SSL #SSLPinning #SSLBypass #BurpSuite #LSPosed #Flutter #OkHttp #WebView #Pentest #AppSec #CyberSecurity #RedTeam
📡 @androidSec_fa
GitHub
GitHub - 0xdad0/ssl-kill-switch-lsposed: LSPosed module for disabling SSL certificate pinning on Android. Covers Java-layer pinning…
LSPosed module for disabling SSL certificate pinning on Android. Covers Java-layer pinning (OkHttp, TrustManager, Conscrypt, WebView, Cordova, Tencent X5) and native-layer pinning (BoringSSL embedd...
👍3
سلام بچه‌ها این یه مقاله جدیده که یک فردی اومده اپلیکیشن Acode رو بررسی کرده و یک باگی که روش وجود داشته از قبل و الان رفع شده رو به صورت تمرینی جلو رفته و پیدا کرد و به poc رسیده.
در رابطه با برنامه Acode بهتون بگم که با cordova نوشته شده و این برنامه برنامه‌ایه که به صورت ویرایشگر کد اندرویدیه.
پلتفرم cordova یه پلتفرمیه که میاد فایل‌های html css js رو تبدیل به کد اندرویدی نیتیو می‌کنه و در قالب یک وب ویو میارتش بالا و به کاربر نمایش میده.
حالا این باگ یه باگ xss بوده و این میره پیداش می‌کنه و نکته مهم این هستش که این اپلیکیشن اپن سورس و این محقق دیگه نمیره کارای مهندسی معکوس اپلیکیشن انجام بده مستقیم از روی سورس میاد انجام میده و به باگ می‌رسه.
حالا مراحلی که انجام داده و جزئیاتش توی مقاله هست می‌تونید برید مطالعه کنید.
در کل چون اپلیکیشن با cordova نوشته شده وقتی یه xss پیدا بشه فراتر از یه باگ ساده داخل وب ویو و می‌تونی تقریباً کنترل اپلیکیشنو به دست بگیری.
📖 مطالعه مقاله:
https://hackmd.io/@sal/Reproducing-the-Acode-Zero-Day-Vulnerability
📌 کانال: @androidSec_fa
#AndroidSecurity #AndroidPentesting #WebView #Cordova #XSS #ZeroDay #Acode #CyberSecurity #BugBounty #MobileSecurity #AppSec #VulnerabilityResearch #امنیت_اندروید #امنیت_سایبری
در رابطه با برنامه Acode بهتون بگم که با cordova نوشته شده و این برنامه برنامه‌ایه که به صورت ویرایشگر کد اندرویدیه.
پلتفرم cordova یه پلتفرمیه که میاد فایل‌های html css js رو تبدیل به کد اندرویدی نیتیو می‌کنه و در قالب یک وب ویو میارتش بالا و به کاربر نمایش میده.
حالا این باگ یه باگ xss بوده و این میره پیداش می‌کنه و نکته مهم این هستش که این اپلیکیشن اپن سورس و این محقق دیگه نمیره کارای مهندسی معکوس اپلیکیشن انجام بده مستقیم از روی سورس میاد انجام میده و به باگ می‌رسه.
حالا مراحلی که انجام داده و جزئیاتش توی مقاله هست می‌تونید برید مطالعه کنید.
در کل چون اپلیکیشن با cordova نوشته شده وقتی یه xss پیدا بشه فراتر از یه باگ ساده داخل وب ویو و می‌تونی تقریباً کنترل اپلیکیشنو به دست بگیری.
📖 مطالعه مقاله:
https://hackmd.io/@sal/Reproducing-the-Acode-Zero-Day-Vulnerability
📌 کانال: @androidSec_fa
#AndroidSecurity #AndroidPentesting #WebView #Cordova #XSS #ZeroDay #Acode #CyberSecurity #BugBounty #MobileSecurity #AppSec #VulnerabilityResearch #امنیت_اندروید #امنیت_سایبری
HackMD
Reproducing the Acode Zero Day Vulnerability - HackMD
Hello friends, in this blog we’re going to talk about a challenge I took while learning Android Security. I took this challenge while following a really great Android security course on Hextree. The course is sponsored by Google, and the material is excellent…
👍3❤1