معرفی ابزار clsdumper

ابزار clsdumper یک ابزار Dynamic DEX Dumper برای اندروید است که با استفاده از Frida، فایل‌های DEX لودشده در زمان اجرای اپلیکیشن را استخراج می‌کند.

📌 کاربرد اصلی

🔵 مناسب Reverse Engineering اپ‌های اندرویدی
🔵 استخراج کد از اپ‌های Obfuscated / Protected
🔵 تحلیل کدهایی که در APK اولیه وجود ندارند ولی در Runtime لود می‌شوند


😎برخلاف ابزارهای استاتیک، clsdumper روی حافظه‌ی اپ در حال اجرا کار می‌کند و می‌تواند DEXهایی را بگیرد که ابزارهای معمولی به آن‌ها دسترسی ندارند.

🛠️ نحوه استفاده (خلاصه)

نیاز به دستگاه یا امولاتور Rooted

اجرای frida-server

اجرای ابزار با نام پکیج یا PID اپ:

clsdumper com.example.app

✅ مناسب برای

🔴 Android Security Researchers
🔴 Malware Analysis
🔴 Penetration Testing موبایل


🔗 GitHub:
https://github.com/TheQmaks/clsdumper

@androidSec_fa

📦 ابزار ipatool چیه؟
ابزار ipatool یه ابزار خط فرمان (CLI) متن‌بازه که بهت اجازه می‌ده از App Store اپ‌های iOS رو دانلود کنی و خروجی فایل IPA بگیری.

🔹 با Apple ID لاگین می‌کنی
🔹 اپ‌ها رو سرچ می‌کنی
🔹 نسخه‌های مختلفشون رو می‌بینی
🔹 و IPA اپ‌هایی که قبلاً با اکانتت خریدی رو دانلود می‌کنی

⚠️ نکات مهم:
🔴 برای کرک یا دانلود رایگان اپ‌های پولی نیست ❌
🔴 فقط اپ‌هایی که قبلاً با Apple ID خودت گرفتی
🔴 فایل‌های IPA معمولاً Encrypted هستن
🔴 استفاده از Apple ID شخصی = ریسکی هستش

🛠 نوشته‌شده با Go
💻 اجرا روی Windows / macOS / Linux

🔗 گیت‌هاب:

https://github.com/majd/ipatool

📌 مناسب برای: دولوپرها، آرشیو نسخه‌های قدیمی اپ‌ها، یا کسایی که IPA لازم دارن.

#ios@androidSec_fa #ipa

@androidSec_fa

🚨 Vulnerability Breakdown
در ابزار MobSF یک (XSS) در فرآیند تحلیل اپلیکیشن‌های اندرویدی شناسایی شده.

📌 Root Cause
ابزار MobSF در مرحله‌ی تحلیل AndroidManifest.xml، مقدار فیلد android:host (در intent-filter مربوط به dialer code) را بدون sanitize یا escape مناسب مستقیماً در HTML گزارش نهایی inject می‌کرد.

در نتیجه:
اگر APK شامل payload جاوااسکریپتی در این فیلد باشد
و کاربر گزارش HTML را باز کند
➡️ کد JavaScript به‌صورت stored XSS در context کاربر
اجرا می‌شود.

🧠 Attack Scenario
🔴 فرد Attacker یک APK با مقدار مخرب در android:host می‌سازد
🔴 فایل APK در MobSF آپلود می‌شود
🔴 ابزار MobSF گزارش HTML تولید می‌کند
🔴 محتوا Payload داخل گزارش persist می‌شود
🔴 با باز شدن گزارش:
👊 اجرای JS
👊 سرقت session / cookies
👊 یا انجام actions در context کاربر

🛠️ Fix
این مشکل در نسخه 4.4.5 با اعمال escaping مناسب روی ورودی‌ها رفع شده است.

✅ Mitigation
فوراً MobSF را به نسخه ≥ 4.4.5 ارتقا دهید


https://github.com/advisories/GHSA-8hf7-h89p-3pqj

@androidSec_fa

📢 کنفرانس رایگان امنیت موبایل!
دوستان، یه ایونت فوق‌العاده برای علاقه‌مندان به امنیت سایبری 🎯
📅 تاریخ: ۳–۴ مارس ۲۰۲۶
🎤 موضوع: امنیت اپ‌های موبایل، هک اخلاقی، AI و CTF
👨‍💻 مخصوص هکرهای اخلاقی، دولوپرها و هر کسی که می‌خواد امنیت موبایل رو یاد بگیره!
👉 ثبت‌نام رایگان:

https://www.mobilehackinglab.com/mobile-hacking-conference-registration


#hack #mobile-hacking


@androidSec_fa

📁 Little File Explorer
یه فایل‌منیجر فوق‌سبک و متن‌باز برای اندروید
بدون تبلیغ، بدون شلوغ‌کاری، بدون دسترسی‌های عجیب
مناسب گوشی‌های ضعیف یا کسایی که سادگی و حریم خصوصی براشون مهمه.

🔗 لینک گیت‌هاب:

https://github.com/martinmimigames/little-file-explorer

#file_explorer #apk #github

@androidSec_fa

🚀 🔐 Shannon – هکر هوش مصنوعی برای پیدا کردن باگ‌ ها!

این ریپوزیتوری یک ابزار کاملاً خودکار تست نفوذ مبتنی بر هوش مصنوعی برای نرم‌افزارهای وب هست که هدفش اینه قبل از اینکه مهاجم‌ها به برنامه‌ات نفوذ کنن، اون رو بشکنه! 👇🏼

🔍 چی کار می‌کنه؟
• به‌صورت خودکار نقاط ضعف امنیتی وب‌اپ رو پیدا می‌کنه.
• فقط هشدار نمی‌ده – واقعاً Exploit اجرا می‌کنه تا ثابت کنه آسیب‌پذیری واقعی هست.
• می‌تونه با لاگین، عبور از احراز هویت، XSS، Injection، SSRF و بقیه حملات تست کنه.

💡 چرا مهمه؟
توی دنیای امروز که تیم‌ها سریع کد می‌زنن و هر روز منتشر می‌کنن، تست نفوذ سنتی فقط سالی یه بار انجام می‌شه. Shannon می‌تونه این فاصله رو پر کنه و به‌صورت مداوم امنیت رو بسنجـه.

📊 طبق بنچمارک‌ها، حتی توی معیارهای معروف تست نفوذ هم نتیجه‌ی خوبی گرفته (~۹۶٪ موفقیت).

📦 این نسخه رایگان (Lite) هست و خودت می‌تونی ریشه‌ای تستش کنی. نسخه‌ی حرفه‌ای هم برای تیم‌های بزرگ‌تر در دسترسه.
👉🏻 لینک ریپو:

https://github.com/KeygraphHQ/shannon

#shannon #ai #pentest

@androidSec_fa