چرا Burp هیچی نشون نمی‌ده؟!
اگه تست نفوذ موبایل کار کرده باشی، احتمالاً این سناریو برات آشناست:
✅ پروکسی ست
✅ CA نصب
✅ Burp روشن
ولی…
❌ هیچ ترافیکی نمیاد!
خیلیا اینجا فکر می‌کنن:
«وای این اپ خیلی امنه 😐»
اما خبر خوب 👇
تو اکثر مواقع مشکل از امن بودن اپ نیست — از روش interception ماست.
توی این سری پست می‌خوایم مقاله زیر رو شیر فهم باز کنیم و ببینیم چطور ترافیک اپ‌های مدرن رو بگیریم 👇
پست بعدی: روش کلاسیک interception اصلاً چی بود؟
#MobilePentest #BurpSuite #AndroidSecurity #iOSSecurity
📡 @androidSec_fa

روش کلاسیک interception (قدیما چه ساده بود 😌)
روش سنتی گرفتن ترافیک موبایل این بود:
1️⃣ نصب CA مربوط به Burp روی گوشی
2️⃣ ست کردن proxy سیستم
3️⃣ اجرای اپ → دیدن ترافیک در Burp
و واقعاً هم کار می‌کرد!
📱 اکثر اپ‌ها:
به user CA اعتماد می‌کردن
proxy سیستم رو استفاده می‌کردن
SSL pinning هم خیلی کم بود
ولی کم‌کم اوضاع عوض شد… 😈
امروز خیلی وقت‌ها همین روش ساده fail میشه.
چرا؟
پست بعدی: دشمن شماره ۱ — SSL Pinning 🔒
#MobilePentest #BurpSuite #SSLpinning
📡 @androidSec_fa

دشمن شماره ۱: SSL Pinning 🔥
SSL Pinning یعنی اپ فقط به یک certificate خاص اعتماد می‌کنه.
نتیجه چی میشه؟
تو هر کاری بکنی:
✅ CA نصب
✅ proxy درست
❌ ولی handshake fail میشه
نشونه‌هاش:
تو Burp چیزی نمی‌بینی
اپ خطای network میده
یا silently fail می‌کنه
📌 امروز SSL pinning تقریباً everywhere هست.
پس راه‌حل چیه؟
👉 باید pinning رو در runtime بایپس کنیم.
ابزار محبوب:
Frida
Objection
unpinning scripts
اما… داستان هنوز تموم نشده 😏
پست بعدی: محدودیت‌های جدید اندروید
#SSLpinning #Frida #MobileSecurity
📡 @androidSec_fa

دشمن شماره ۲: اندروید جدید کارو سخت کرد 😬
از Android 11 به بعد، گوگل بازی رو عوض کرد.
مشکلات جدید:
❌ خیلی از اپ‌ها به user CA اعتماد نمی‌کنن
❌ دسترسی به system cert سخت‌تر شده
❌ از Android 13 به بعد remount تقریباً قفل شده
یعنی چی به زبان ساده؟
حتی اگر pinning نباشه
باز هم ممکنه ترافیک نیاد!
برای همین pentesterها رفتن سمت:
root
Magisk modules
system CA injection
ولی هنوز یه دشمن مخفی مونده… 👀
پست بعدی: چرا Flutter اپ‌ها اعصاب خوردکنن!
#AndroidSecurity #MobilePentest #Magisk
📡 @androidSec_fa

🧵 دشمن مخفی: Flutter apps 😈 (مهم!)
اینجا اون نکته طلایی مقاله است 👇
خیلی از اپ‌های Flutter:
🚫 proxy سیستم رو ignore می‌کنن
🚫 stack شبکه خودشونو دارن
🚫 حتی بدون SSL pinning هم ترافیک نمیاد!
یعنی ممکنه:
❌ CA درست
❌ pinning هم نیست
❌ ولی Burp خالیه
و pentester گیج میشه 😵‍💫
راه‌حل چیه؟
👉 باید socket رو hook کنیم، نه proxy رو.
و اینجاست که ابزار خفن وارد میشه…
پست بعدی: frida4burp و راه‌حل عملی 🚀
#Flutter #Frida #MobilePentest
📡 @androidSec_fa

🧵 راه‌حل عملی: Frida + frida4burp 🚀
برای اپ‌های مدرن معمولاً این combo جواب میده:
✅ تزریق CA درست
✅ بایپس SSL pinning با Frida
✅ redirect سوکت با frida4burp
ایده frida4burp چیه؟
به جای اینکه منتظر proxy سیستم باشیم:
👉 میاد socket اپ رو hook می‌کنه
👉 ترافیک رو مستقیم می‌فرسته Burp
🔥 برای Flutter خیلی جواب میده.
سناریوی طلایی مقاله:
CA injection
unpinning
socket redirection
با این ترکیب، اکثر اپ‌ها باز میشن.
پست آخر: جمع‌بندی سریع + لینک مقاله 📚
#Frida #BurpSuite #FlutterSecurity
📡 @androidSec_fa

🧵 جمع‌بندی نهایی + لینک مقاله 🎯
اگر Burp چیزی نشون نداد، این چک‌لیست رو برو:
✅ آیا SSL pinning هست؟ → unpin با Frida
✅ Android جدید هست؟ → system CA injection
✅ Flutter هست؟ → استفاده از frida4burp
✅ هنوز بسته؟ → ترکیبی جلو برو
پیام اصلی مقاله:
❗ روش کلاسیک proxy دیگه همیشه کافی نیست
✅ runtime instrumentation پادشاه جدیده
📚 مقاله کامل اینجاست:
https://medium.com/@justmobilesec/practical-mobile-traffic-interception-1481e33d974e⁠
اگر این سری به کارت خورد، برای رفیق pentesterت بفرست 🤝
#MobilePentest #AppSec #Frida #BurpSuite #Flutter
📡 @androidSec_fa

🔍 داستان واقعی از پیدا کردن باگ در یک اپ موبایل

یه مقاله‌ای هست می‌خوام اینو براتون بازش کنم که متوجه بشید چه جوری اومده این کارو انجام داده 👇

یه محقق امنیتی اومده یه اپ موبایل به اسم AeroParts رو بررسی کنه. اولین چیزی که فهمید این بود که این اپ با Cordova ساخته شده.

❓ Cordova یعنی چی؟
خیلی ساده: یعنی برنامه‌نویس به‌جای اینکه اپ رو با جاوا یا کاتلین بنویسه، با HTML و JavaScript نوشته و بعد پیچیده داخل اپ موبایل.

📱 ترجمه خیلی ساده:
اپ Cordova ≈ یه سایت که به صورتwebview توی اپ نمایش میده

چرا این مهمه؟
چون وقتی این‌طوری باشه، کدهای اصلی اپ معمولاً راحت‌تر لو می‌رن.

---

🪜 مرحله اول — کالبدشکافی APK

محقق اومد فایل APK رو دیکامپایل کرد (یعنی بازش کرد ببینه داخلش چیه).

چی پیدا کرد؟

- کلیدهای رمزنگاری داخل کد 😬
- آدرس سرورهای بک‌اند
- endpointهای API

یعنی عملاً نقشه پشت‌صحنه اپ دستش اومد.

⚠️ نکته مهم:
تا اینجا هنوز هیچ هکی روی سرور انجام نشده بود — فقط تحلیل آفلاین بود.

---

🔑 مرحله دوم — شکستن قفل دیتابیس

توی کد دید دیتابیس‌های اپ با یه کلید مخفی باز می‌شن.

اما چون کلید داخل کد هاردکد شده بود، با یه کم دنبال کردن توانست:

✅ کلید اول رو دربیاره
✅ الگوریتم رمزگشایی رو تقلید کنه
✅ کلید نهایی رو بسازه

🎯 نتیجه: دسترسی کامل به دیتای لوکال اپ

این خودش یه ضعف امنیتی جدیه.

---

🌐 مرحله سوم — نگاه به سرور

اینجا داستان جذاب می‌شه.

داخل کد اپ یه endpoint دید برای دانلود فایل:

fetchFile

این یعنی اپ از سرور فایل می‌گیره.

اینجا محقق گفت:
«نکنه این ورودی path رو فیلتر نکرده باشن؟ 🤔»

---

🚨 مرحله چهارم — تست خطرناک (LFI)

یه درخواست دستکاری‌شده فرستاد به سرور:

به‌جای فایل معمولی، گفت:

../../../../etc/passwd

اگر اهل لینوکس باشی می‌دونی این فایل لیست یوزرهای سیستمه.

و چی شد؟

سرور بدون هیچ مقاومتی فایل رو برگردوند!

---

💥 یعنی دقیقاً چه اتفاقی افتاد؟

✅ سرور خودش فایل‌های لوکالش رو لو داد

به این می‌گن:

🔥 Local File Inclusion (LFI)

---

🧠 تصویر ذهنی خیلی ساده

حالت سالم 👌
تو می‌گی: «این فایل مجاز رو بده»
سرور: «چشم»

حالت خراب 🚨
تو می‌گی: «برو از پوشه‌های سیستمی خودت فایل بیار»
سرور: «بفرما»

---

📌 جمع‌بندی

این اپ سه تا اشتباه بزرگ داشت:

- 🔴 استفاده از Cordova بدون محافظت کافی
- 🔴 نگهداری کلیدها داخل کد
- 🔴 فیلتر نکردن path در سرور

---

#BugBounty #CyberSecurity #MobileSecurity #AndroidSecurity #Pentest #EthicalHacking #Infosec #LFI #OWASP

@androidSec_fa

🧪 چطور شکارچی‌ها حدس می‌زنن یه endpoint احتمال LFI داره؟

(ادامه داستان قبلی — کاربردی و به درد باگ‌بانتی)

ببین، هیچ هکری از اول نمی‌دونه یه سرور LFI داره.
همه‌چی از «بو کشیدن» شروع می‌شه 👃

اینا مهم‌ترین نشونه‌هایی هست که محقق‌ها دنبالش می‌گردن:

---

🔍 نشونه ۱ — endpoint دانلود فایل

اگر جایی دیدی اپ از این مدل URL استفاده می‌کنه، چراغ ذهنت روشن بشه:

- download
- fetch
- file
- getFile
- view
- open

چرا؟
چون اینا معمولاً با path فایل کار می‌کنن.

دقیقاً همین‌طوری تو این مقاله به fetchFile شک شد.

---

🔍 نشونه ۲ — وجود پارامتر path یا file

اگر توی URL چیزی شبیه این دیدی:

?file=
?path=
?name=
?download=

👈 اینا طلاست برای تست LFI

---

🔍 نشونه ۳ — اپ فایل آفلاین می‌گیره

اگر اپ:

- دیتابیس دانلود می‌کنه
- مدیا می‌گیره
- آپدیت آفلاین داره

معمولاً یه endpoint فایل پشتشه.

---

🧪 تست خیلی پایه که همه می‌زنن

اولین تست ساده معمولاً اینه:

../../../../etc/passwd

اگر سرور اینو برگردونه = بازی تمومه 😈

---

⚠️ ولی حواست باشه

خیلی وقتا سرورها نیمه‌مقاومن.

یعنی ممکنه:

- ارور بدن
- بخشی از فایل بیاد
- یا رفتار مشکوک نشون بدن

همین‌ها هم سرنخ طلاییه.

---

🎯 توصیه حرفه‌ای

همیشه این زنجیره ذهنی رو داشته باش:

APK → پیدا کردن endpoint → تست ورودی‌ها → شکار باگ

دقیقاً همون کاری که تو این مقاله انجام شد.

---

🔗 لینک مقاله (جایگزین کن با لینک اصلی):
https://example.com/sample-ahttps://ahmadaabdulla.medium.com/a-step-by-step-guide-to-uncovering-vulnerabilities-in-a-mobile-app-5a6b05e6b23b

---

#BugBounty #CyberSecurity #WebSecurity #LFI #Pentesting #EthicalHacker #AppSec #OWASP #HackerLife

@androidSec_fa

🔥 معرفی Galaxy S26 Ultra با قابلیت عجیب Privacy Display

سامسونگ در رویداد Unpacked 2026 یک ویژگی جدید معرفی کرد که حسابی سر و صدا کرده:
📱 Privacy Display

🔐 این قابلیت باعث می‌شود صفحه گوشی فقط از روبه‌رو واضح دیده شود و از بغل تقریباً تاریک و ناخوانا باشد؛ یعنی جلوی فضولی بقیه در مترو، اتوبوس یا مکان‌های عمومی گرفته می‌شود.

⭐ اما امکاناتش فقط این نیست:

✅ فعال/غیرفعال سریع از Quick Settings
✅ امکان محافظت از بخش‌های حساس مثل رمز و لاک‌اسکرین
✅ پشتیبانی از مخفی کردن نوتیفیکیشن‌ها
✅ قابلیت تنظیم برای اپ‌های خاص (مثلاً بانک یا پیام‌رسان)
✅ تنظیم شدت محافظت
✅ کار در سطح پیکسل داخل خود نمایشگر

سامسونگ می‌گوید این فناوری بیش از ۵ سال در حال توسعه بوده و مستقیم داخل پنل OLED گوشی قرار گرفته (نه مثل گلس‌های privacy).

🤔 نکته مهم:
برخی بررسی‌های اولیه می‌گویند نسخه فعلی شاید فقط چند حالت ساده داشته باشد و باید دید در عمل چقدر قابل شخصی‌سازی است.

—

#GalaxyS26Ultra #Samsung #PrivacyDisplay #GalaxyUnpacked #TechNews #MobileTech #سامسونگ #گوشی_هوشمند #تکنولوژی #اخبار_تکنولوژی

@androidSec_fa

🚨 هشدار امنیتی درباره اپ‌های سلامت روان اندروید

یک بررسی جدید نشان داده چند اپلیکیشن محبوب سلامت روان در اندروید با وجود میلیون‌ها نصب، دارای ضعف‌های امنیتی جدی هستند که می‌تواند اطلاعات بسیار حساس کاربران را در معرض خطر قرار دهد.

🔍 نکات مهم:
• بررسی ۱۰ اپ → کشف ۱٬۵۷۵ آسیب‌پذیری
• بیش از ۱۴.۷ میلیون دانلود مجموع
• برخی باگ‌ها امکان دسترسی به سوابق درمانی را می‌دهند
• ذخیره ناامن داده‌ها روی دستگاه در بعضی اپ‌ها
• استفاده از روش‌های رمزنگاری ضعیف در برخی موارد

⚠️ چرا مهم است؟
این اپ‌ها داده‌هایی مثل چت‌های درمانی، وضعیت روحی، برنامه دارویی و شاخص‌های حساس سلامت روان را نگه می‌دارند — اطلاعاتی که در دارک‌وب ارزش بالایی دارند.

🛡 توصیه کوتاه:
قبل از نصب اپ‌های سلامت روان، به اعتبار توسعه‌دهنده، آپدیت‌های اخیر و مجوزهای برنامه دقت کنید.

🔗 لینک مقاله:
https://www.bleepingcomputer.com/news/security/android-mental-health-apps-with-147m-installs-filled-with-security-flaws

📢 کانال ما:
@androidSec_fa

#امنیت_سایبری #اندروید #حریم_خصوصی #سلامت_روان #CyberSecurity

📦 معرفی ابزار جالب برای تحلیل APK اندروید

اگه با فایل‌های APK سر و کار داری یا روی تحلیل بدافزار موبایل کار می‌کنی، ریپوی زیر می‌تونه برات مفید باشه 👇

🔍 artifacts یک ابزار سبک برای تحلیل اولیه APK هست که می‌تونه:

• استخراج رشته‌ها از APK
• پیدا کردن URL و IPهای مشکوک
• شناسایی برخی رفتارهای مشکوک
• تلاش برای حدس خانواده بدافزار
• بررسی فایل‌های dex و کتابخانه‌ها

⚠️ توجه:
این ابزار بیشتر برای triage اولیه طراحی شده و ممکنه false positive داشته باشه؛ برای تحلیل دقیق‌تر بهتره کنار ابزارهایی مثل Jadx استفاده بشه.

🔗 لینک ریپو:
https://github.com/drego85/artifacts

#Android
#APK
#MalwareAnalysis
#ReverseEngineering
#CyberSecurity

📢 @androidSec_fa

سلام دوستان

بعد از حدود ۸۰–۹۰ روز دوباره برگشتیم 👋

مدتی به‌خاطر شرایط و تنش‌های اخیر منطقه‌ای و اتفاقاتی که روی فضای عمومی و زندگی همه‌مون تأثیر گذاشته بود، امکان فعالیت منظم و انتشار محتوا وجود نداشت(قطعی اینترنت).

الان دوباره برگشتیم و از امروز مثل قبل، پست‌های آموزشی به‌صورت روزانه داخل کانال قرار می‌گیره.

ممنون از هم‌راهی‌تون و صبوری‌تون توی این مدت 🙏

از اینجا به بعد با انرژی بیشتر ادامه می‌دیم 👤

@androidSec_fa

🔴 تروجان بانکی OverlayPhantom اندروید را هدف گرفته!

🔴 یک بدافزار جدید و حرفه‌ای به نام OverlayPhantom کشف شده که با جعل برنامه‌های معروف مثل «ID Austria» و «TikTok»، کاربران اندروید را آلوده می‌کند.

🔴 این تروجان بعد از نصب، خودش رو به عنوان «سرویس‌های گوگل پلی» مخفی می‌کنه و با سوءاستفاده از Accessibility Service، کنترل کامل گوشی رو به دست می‌گیره! 📱🔓

🔹 قابلیت‌ها:
• پخش زنده صفحه نمایش قربانی
• نمایش صفحات فیشینگ دقیقاً روی برنامه‌های بانکی
• اجرای بیش از ۳۰ دستور از راه دور توسط هکر

🌍 کشورهای تحت حمله:
آمریکا 🇺🇸 | انگلیس 🇬🇧 | آلمان 🇩🇪 | فرانسه 🇫🇷 | ایتالیا 🇮🇹 | اسپانیا 🇪🇸 | هلند 🇳🇱 | بلژیک 🇧🇪 | فنلاند 🇫🇮 | استرالیا 🇦🇺

🎯 بیش از ۱۸۰ برنامه بانکی و ارز دیجیتال در لیست هدف قرار دارن!

📄 تحلیل کامل و فنی این تهدید رو از لینک زیر بخونید:
🔗 https://cyble.com/blog/overlayphantom-android-banking-trojan/

📢 @androidSec_fa

#امنیت_سایبری #اندروید #تروجان_بانکی #فیشینگ #OverlayPhantom #هک #موبایل_امن #تهدیدات_سایبری #بانکداری_دیجیتال #ارز_دیجیتال #خبر_فوری #سایبرسکیوریتی

🔴 هشدار امنیتی: عملیات Trapdoor؛ وقتی «نصب ارگانیک» به دام کلاهبرداری تبلیغاتی تبدیل می‌شود!

تیم Satori از HUMAN Security، یک شبکه گسترده کلاهبرداری تبلیغاتی در اندروید را کشف کرده:

🔹 ۴۵۵ اپلیکیشن مخرب (PDF Reader، Cleaner و...)
🔹 ۲۴+ میلیون دانلود و ۶۵۹ میلیون درخواست تبلیغاتی در روز!
🔹 چرخه خودپایدار: تبلیغات مخرب → نصب اپ دوم → کلیک خودکار → درآمد برای مهاجمان

🎯 نکته هوشمندانه: مهاجمان با سواستفاده از سیستم‌های Attribution، رفتار مخرب را فقط برای کاربرانی فعال می‌کنند که از طریق تبلیغات خودشان اپ را نصب کرده‌اند! (محققان امنیتی چیزی نمی‌بینند )

📄 مطالعه گزارش کامل:
https://www.humansecurity.com/learn/resource/satori-threat-intelligence-alert-trapdoor-funnels-malvertising-into-ad-fraud/

🔖 #امنیت_سایبری #بدافزار_اندروید #کلاهبرداری_تبلیغاتی #Trapdoor #HUMAN_Security #AdFraud #Malvertising #Satori

💬 برای دریافت به‌روزرسانی‌های امنیتی، کانال ما را دنبال کنید:
@androidSec_fa