😎Опытные багхантеры знают, что во многих багбаунти программах в скоуп входит мобильное приложение, за баги в котором можно получить не меньшие деньги, чем за баги в вебе.

🔍Честно сказать, многие попросту упускают из виду эту возможность. Мы на канале часто упоминаем тему #mobile, поэтому не стесняйтесь искать и погружаться.

📌А сегодня затронем тему контент-провайдеров (Content Providers) в Android. Это фундаментальный компонент, широко используемый для обмена данными между различными приложениями.

🔐Часто они предоставляют доступ к конфиденциальному контенту, но из-за распространенных ошибок в реализации и механизмах защиты они подвержены различным уязвимостям.

👉В статье как раз рассмотрены наиболее распространенные проблемы в их работе и потенциальные методы их использования.

❓Хотите погрузиться в безопасность мобилок подробнее? Посмотрите или послушайте интервью Сергея Тошина aka BagiPro (топ-1 мобильный хакер) с ребятами из подкаста criticalthinking.

#pentest #bugbounty

📚Качественный туториал по вкатыванию в безопасность Android-приложений в 2024 году

Автор описал минимальный набор навыков и подкрепил источниками, где эти знания и навыки можно получить:

☑️ Программирование: Java, Kotlin
☑️ Архитектурные топики: MVP/MVVM, Dependecy Injection, шаблоны проектирования
☑️ Android: основные компоненты приложений, библиотеки JetPack, Dalvik/ART, Android Debug Bridge
☑️ Инструменты: декомпилятор (jadx, jeb, procyon, etc…), дизассемблер (ghidra, idapro), Frida (+frida based утилиты вроде objection), Magisk, Android Studio, apktool

#mobile

📲Bettercap на Android: портативный инструмент для сетевой безопасности

Bettercap — швейцарский нож для пентестера, который включает в себя анализ безопасности Wi-Fi, сканирование Bluetooth, спуфинг и перехват сессий.

🤔 Почему стоит использовать Bettercap на Android вместо ноутбука при пентесте?

С Bettercap на Android вы получаете мощный инструмент прямо в кармане, позволяющий работать незаметно.

➡️ Bettercap можно установить на Termux или NetHunter Terminal. Что потребуется:

1️⃣ Рутованный Android-смартфон
2️⃣ Приложение Termux
3️⃣ Стабильное интернет-соединение (спасибо, кэп)
4️⃣ NetHunter с кастомным ядром для полной поддержки Wi-Fi и Bluetooth

➡️ Установка через Termux:



$ apt update
$ termux-setup-storage
$ pkg install root-repo
$ pkg install golang git libpcap libusb
$ pkg install pkg-config
$ pkg install tsu
$ go install github.com/bettercap/bettercap@latest && cd $HOME/go/bin
$ sudo ./bettercap

➡️ Под катом — подробное пошаговое руководство по установке, настройке и использованию bettercap на Android, которое раскрывает его полный потенциал для этичного взлома, сетевой безопасности и тестирования на проникновение.

#pentest #mobile #security

🎙 8-й выпуск Responsible Disclosure Podcast: Дмитрий Лукьяненко — из разработчика в хакера Android приложений, поиск уязвимостей как работа

Дмитрий Лукьяненко является белорусским багхантером и экс-Android-разработчиком, известным своими достижениями в области кибербезопасности. На данный момент он единственный исследователь в СНГ, обладающий HackerOne MVH (Most Valuable Hacker) Belt!

В 2019 году ему удалось занять второе место в рейтинге «белых хакеров» Facebook*. На протяжении многих лет он демонстрировал выдающиеся знания экосистемы Android и находил серьезные баги в продуктах многих крупных компаний.

В подкасте Дмитрий рассказывает о своем пути, о том, на что он обращает внимание больше всего, и как сохраняет навык и интерес после стольких лет работы в этой сфере.

⏳ Таймкоды:

00:00:43 – Приветствие и начало подкаста
00:01:31 – Первые шаги в карьере
00:04:21 – Работа в Яндексе
00:05:49 – Первая уязвимость и награда
00:07:44 – Вдохновение и первые атаки
00:10:19 – Переход из android разработки в безопасность
00:11:54 – Жизнь на bug bounty full time
00:13:26 – Гранты от Google
00:14:23 – Фокус на уязвимости
00:17:38 – Взаимодействие с мобильными приложениями
00:21:29 – Подход к поиску багов
00:25:07 – Пример уязвимости
00:29:53 – Ошибки в безопасности
00:31:41 – Переход к веб-уязвимостям
00:33:26 – Вдохновляющие примеры
00:34:21 – Уязвимости без технических навыков
00:35:11 – Уязвимость в Facebook
00:36:11 – Баг на мероприятии в Сингапуре
00:38:05 – Стратегия раскрытия уязвимостей
00:39:50 – Уязвимость в Windows Messenger
00:43:27 – Статус “Most Valuable Hacker”
00:46:09 – Санкции со стороны платформ
00:48:03 – Бонусы и мотивация
00:49:51 – Инвестиции в оборудование
00:53:46 – Важность образования
00:54:45 – Советы новичкам
00:55:31 – Безопасность Android
00:55:53 – Курсы по программированию устройств
00:56:50 – Автоматизация и инструменты

⏯️ Смотреть или слушать полностью

#podcasts #bugbounty #infosec #mobile

* Организация Meta запрещена на территории РФ