Эксплуатация SQL Injection в iOS или…

Прочитал тут удивительную статью про эксплуатацию SQLInjection в одном из приложений iOS.

И честно говоря, либо я не до конца понял, либо автор в статье просто перехватывает при помощи Frida запрос и подменяет его на свой собственный. Как-то не сильно-то похоже на инъекцию. С таким же успехом можно было просто базу скачать себе и посмотреть в том же бекапе даже без джейла.

На самом деле я очень нечасто встречал SQL-инъекции в iOS, так как там сильно ограничено межпроцессное взаимодействие и такого механизма, как, например Content Provider в Android, там нет, что бы смотрело впрямую в базу. В Android они тоже не так часто встречаются, но все таки они есть и реально эксплуатабельны.

Но все-таки я не понимаю, какой практический смысл этой статьи.. Помогите, пожалуйста, может я все-таки не так что-то понял?

Какую IDE для Android разработки вы используете?
Мне вот правда интересно, есть ли люди, кто использует что-то отличное от Android Studio для разработки или это прям стандарт-стандарт для мобилок?

Наверняка же есть что-то еще, помимо Android Studio? Вголову приходит только VSCode с плагинчиками, но эмулятором же управлять удобнее из студии)


В общем, помогите, пожалуйста разобраться))

Как приложения сливают нашу геопозицию или я знаю, где ты живешь...

Очень крутое на исследование, которое глубоко копает в механизмы отслеживания местоположения через рекламу в мобильных приложениях аж в двух частях:
Часть первая
Часть вторая

Автор продемонстрировал, как, используя Charles Proxy (в первой части) и mitmproxy (во второй), можно вскрыть этот "ящик Пандоры". Даже если вы отключили службы геолокации, приложения, такие как простая игра Stack от KetchApp, передают ваш IP-адрес, точные временные метки и рекламные идентификаторы (IDFA/AAID) таким гигантам, как Unity Ads и Facebook.

Эти данные затем участвуют в Real-Time Bidding (RTB) аукционах, где SSP (Supply-Side Platforms) продают их DSP (Demand-Side Platforms), например, Moloco Ads. Более того, информация о вашем местоположении, полученная даже косвенно через IP или Wi-Fi сети, может оказаться на рынках данных вроде Datarade, иногда с пометкой "low latency", то есть практически в реальном времени.

В репозитории на GitHub есть подробное руководство и наработки на Python (mitm_test.ipynb и visualise_domains.ipynb) для самостоятельного анализа собранных .mitm файлов, позволяющие визуализировать, какие домены получают больше всего запросов.

И это крайне наглядный пример того, как даже обыденные приложения могут стать источником утечки чувствительных данных, и как важно проводить анализ сетевой активности разрабатываемых нами приложений и подключаемых внешних библиотек, чтобы не окзаться потом читающим статью, как твое приложение передает свою геопозицию в другие компании...

Кстати, на одной из конференций показывали, как публичные точки WiFi собирают наши данные для того, чтобы можно было отслеживать устройство, как и где оно перемещается... Конечно, существующие настройки приватности и рандомизации MAC-адресов работают, но настолько ли хорошо они нас защищают? Это вопрос))

Приятного вам вечера пятницы и да, все знают, где ты живешь!

#MobileSecurity #Privacy #AdTech #DataLeak #RTB #mitmproxy #InfoSec

Как получить root на Android эмуляторе (AVD) с Google Play?

Для анализа некоторых мобильных приложений на Android часто нужен не только root-доступ, но и полноценный Google Play со всеми его сервисами. И в том, чтобы его получить может отлично помочь статья на 8ksec.io.

По сути, в статье описан способ модификации образа ramdisk.img при помощи инструмента RootAVD. Описан весьма детально, с подробностями и пояснением к каждому этапу.

В итоге мы получаем эмулятор с установленным Magisk, Frida и root доступом через adb. При этом имея полноценные Google Services и даже Google Play. Отличный способ, главное, чтоб он рабочий оказался))

Пользуйтесь и пишите,. если и правда получилось =)

#Android #Emulator #Magisk #root

и еще один способ :)

Можно и ksu поставить на avd, у них есть ci канал в телеге, там есть пропатченные avd образы.
Вот здесь я issue заводил и разраб описал как это можно замутить

участвуем активнее, друзья, покажите ваши умения)

Всем привет! Стартанул наш конкурс на PHD. Задача как обычно простая - находите баги, получаете баллы, забираете мерч. В этот раз вас ждет супер защищенное хранилище конфиденциальной информации. Кроме беслатных функций в нем есть платные. Еще есть триальная лицензия чтобы можно было оценить прелесть платной версии программы ;) Сможете получить безлимитную? Все подробности здесь.

Всем удачи!

Сегодня было сдано очень мало отчетов, поэтому хочу немного прояснить смысл конкурса и помочь вам начать копать в правильном направлении.

В приложении бесполезно (почти) искать всякие стандартные уязвимости, к которым большинство привыкло. Основной фокус - реверс. В том числе бинарный. Кроме этого нужно немного быть в курсе различных механизмов работы Android и библиотек для разработки приложений. Поэтому, если вы совсем новичок в исследовании мобильных приложений, то может быть немного сложно. Но это не повод опускать руки. Для новичков там тоже есть несколько уязвимостей, нахождение которых не требует каких-то исключительных скилов. Просто внимательность и понимание модели угроз для мобилок.

Ожидается, что участники глубоко погрузятся в некоторые сценарии работы приложения и найдут в них недочеты, которые, при должном упорстве, можно превратить в critical баги.

Чуть позже будут опубликованы подсказки для тех, кому совсем не приходит в голову никаких мыслей. Также, прошу вас написать какие сложности возникают при анализе этого приложения. Попробую сделать какой-то ликбез по итогу чтобы этих сложностей больше не возникало.

Время еще есть. Reverse must go on ;)

Как стоит подходить к проверкам окружения и сбору метрик приложения

Недавно обсуждали о том а вообще можно ли подходить к проверке безопасность финансовых приложений без сбора метрик в которые входят проверки окружения. И моё мнение что нет - метрики нужны для многого : проверка что пользователь не бот , проверка что у пользователя нормальный девайс , проверка для аналитики...
Этот сбор информации нужен иногда и для безопасности пользователя - например в случае когда вы просите вернуть деньги которые застраховали и приходите и пишите что ваш телефон взломали как думаете куда будет смотреть банк? 🙂

На основе метрик и аналитики строится антифрод мониторинг и другие подобные методы защиты

На PhD начинающим исследователям под iOS посоветовали обратить свое внимание на вот эту библиотеку https://github.com/nmilcoff/IOSSecuritySuite
И казалось бы все здорово , но есть её вариация лучше https://github.com/securing/IOSSecuritySuite
Тут разрабочики поддерживают актуальные проверки и стараются чтобы применимость была побольше.

Конечно не стоит использовать эти проверки в виде как есть - динамический анализ прекрасно их отломает(вангую кто-то уже написал плагин magisk для этого). Желательно чтобы используя описанные в этих проверках вектора - вы модифицировали логику работы функций добавляли логику которая усложняла бы анализ и поверх накидывали обфускаю или упаковщики.

У некоторых мобильных приложений я видел ещё более интересную и "безопасную" реализацию:
Весь код проверок вынесен в отдельную библиотеку и код вызова этих проверкок тоже собран в одну функцию CheckDeviceSecure которая возвращает True или False.
Насколько долговечным и надежным было бы подобное решение - ровно до того момента как кто-то не открыл бы Jadx и не скопировал от туда frida хук поменяв возвращаемое значение на нужное для прохождения проверок.

Не стоит класть все яйца в одну корзину: раскидывайте проверки в разные классы и места кода , дублируйте и модифицируйте. Тут подход должен быть как будто вы специально пишите уцуцуга таск на CTF, чтобы злоумышленник просто задолбался выпиливать и обходить. Ваша задача написать уцуцугу которую вы бы решали несколько месяцев, а ещё желательнее лет.

Нашли фрида скрипт который ломает вашу проверку - сломайте скрипт злоумышленнику модифицируя стандартную функцию. Заставьте человека реверсить и страдать при реверсе. Чем больше страдает злоумышленник тем лучше вам - потому что вероятность что он все бросит и пойдёт ковырять другую прилу выше 🙂

Защищайте канал по которому вы передаёте метрики и результаты проверок.
Шифруйте канал внутри https и всячески припятствуйте исследованию трафика ваших приложений.

Безопасность это пирог с множеством слоёв и на каким из слоёв злоумышленник устанет есть зависит только от вас 🙂

Как AI-ассистенты открывают всему миру вашу почту и календарь

Всем привет!
Сегодня безумно популярна тема различных AI-агентов и в частности персональных AI-помощников, эдаких «Джарвисов» на минималках.

Эти помощники умеют читать и отправлять почту, ставить встречи в календарь и напоминать нам о них. И все это через удобный и привычный Телеграм!

Офигенно удобно, полезно и всячески ускоряет и упрощает нам жизнь! Если бы не одно но..

О том как создать такого ассистента и подключить его к своей почте есть огромное количество материалов, особенно видео на Youtube. Я посмотрел 10 наиболее популярных видео, у которых в сумме набирается около 700 000 просмотров.. И во всех есть один и тот же косяк!

Из-за неправильной настройки телеграм-тригера написать вашему «Джарвису» может кто угодно! И абсолютно также получить данные о письмах, контактах, встречах, написать письмо всем контактам и т.д. Любой человек, кто найдет вашего бота может получать любые данные! А учитывая, что многие сервисы осуществляют сброс пароля через подтверждение на почту, это может быть еще интереснее!!

Одна маленькая, скрытая настройка ставит под очень большой удар всю конфиденциальную информацию, что у нас есть 🎉

Я написал об этом небольшую статью и даже записал коротенькое видео, которое показывает, как это работает!

Надеюсь вам будет интересно узнать поподробнее, как это работает и как сделать вашего «Джарвиса» только вашим :)

До связи!

#aishe4ka #aiassistant #n8n

Не верю я в магическую одну кнопку, а вы?

BrutDroid — Android Security Toolkit that automates tedious emulator setup with one command (emulator, Magisk, Frida, Burp certificates, etc.)
https://github.com/Brut-Security/BrutDroid/

А вот это очень даже рабочая идея, особенно для кастомного SSL Pinning, когда в коде прописываются кастомные методы доя OkHttp, например и без ручного анализа напрямую не отключишь.

Мы тоже для разных проверок так делаем, комбинация анализа smali и динамики, очень действенный метод и, наверное, единственно возможный.

Ещё один вариант автоматизации рутины https://github.com/thecybersandeep/frida-script-gen
Скрипт для автогенерации обхода проверок на root и отключения ssl-pinning

Автор насколько я понял планирует поддерживать эту тулзу - возможно получится что-то удобное

Срочное включение. Там на Y и на Пикабу Реддите говорят всё плохо, дни AOSP сочтены, GrapheneOS умер и RutheniumOS приуныл, даже земля на небесную ось налетела, короче ужас. В связи с этим хочу внести ясность.

Google не убивает AOSP — но просто меняет его в худшую сторону, как обычно

Что говорят Google

«Ходят слухи, что AOSP будет свёрнут. Чтобы было ясно: AOSP никуда не исчезает. Он создавался как платформа для open-source реализаций устройств, чипов и архитектур. Мы продолжаем поддерживать референс-цели — виртуальный Cuttlefish и GSI — для тестирования и разработки.»
— Seang Chau, вице-президент, Android Platform
Источник

Что происходит

— Google больше не публикует device-tree, бинарники и историю коммитов для Pixel.
— Сборка полноценного AOSP под Pixel невозможна без ручной реконструкции.
— Основная разработка Android теперь идёт в закрытой ветке — в AOSP попадает только финальный код с задержкой.

Что говорят GrapheneOS

«Нам сообщили, что AOSP закроют. Первый шаг — удаление Pixel-репозиториев в Android 16. Тогда мы не поверили, но теперь это происходит. По словам источника, официальный Android становится закрытым. Возможно, AOSP продолжится вне Google или проект отделят. Всё ещё может измениться, если Android выведут из-под контроля Google.»

Почему это важно

— Без истории коммитов теряется прозрачность и возможность аудита.
— Разработчики ROM'ов теперь должны вручную воссоздавать device-trees.
— Задержки в выкладке патчей снижают скорость реакции на уязвимости.
— AOSP превращается из основы в производную — без гарантии актуальности.

Резюмируя: AOSP и прошивкостроение пока живо — но проблем явно прибавится.