Как работает рандомизация адресного пространства в iOS

Система iOS предоставляет ряд техник для защиты от эксплуатации различных переполнений (стека, кучи и прочих страшных вещей). Среди них PIE (Position Independed Executable), SSP (Stack Smashing Protection), ASLR (Address Space Layout Randomization). Вот как раз о последнем и пойдет сегодня речь.

Для меня всегда было сложно понять, как именно работают все эти механизмы. На верхнем уровне все относительно понятно, но если посмотреть чуть глубже, то начинается бинарный ад 😄

Но вот в этой статье достаточно просто описан механизм, что такое эта рандомизация адресного пространства, зачем она нужна, как работает и самое интересное, как можно это обойти, для этого всего-то нужно пропатчить ядро 😁

Специально для упрощения работы автор сделал репозиторий, в который выгрузил практически готовый код для модификации ядра. Практически, потому что все равно нужно самостоятельно найти нужный адрес инструкций, которые нужно изменить.

Если вам не интересна вторая часть бинарщины про патчинг ядра, все равно рекомендую посмотреть на первую часть статьи)

#iOS #Kernel #Patching

Разнообразие уязвимостей в deeplink и Webview

Очень часто в приложениях присутствуют уязвимости, связанные с недостаточной валидацией данных от пользователя в механизмах deeplink и WebView. Тут тебе и редиректы, XSS, чтение файлов и много других интересных вещей.

В данной статье разобраны некоторые из возможных сценариев эксплуатации таких уязвимостей, а именно CSRF и SSRF. Достаточно интересный вектор атаки с использованием мобильных приложений :)

Хотя, на мой взгляд, некоторые сценарии выглядят немного надуманно и, надеюсь, не должны встречаться в современных разработках, почитать про них всё-таки стоит. Мало ли какие приложения попадут на анализ или появятся более интересные мысли, как развить это направление дальше 😁

#Android #Deeplink #Webview

Постоянный root на эмуляторе

Замечательный @testing_guy прислал свеженький репозиторий (всего пара дней ему), с интересной функциональностью рутования андроид эмулятора.

Я сначала не мог понять, зачем это нужно, ведь эмуляторы без Google Play Services идут из коробки вместе с root пользователем. Но потом вспомнил то время, когда я использовал Xposed.

Действительно, root на Android эмуляторах есть, но он не такой же, как если бы вы получили его на реальном девайсе. Как минимум, при загрузке эмулятора adb server стартует из под обычного пользователя. То есть, если необходим фреймворк для анализа, такой, как Xposed, этот вариант не подойдёт, эти инструменты требуют постоянного и полноценного рута со всеми необходимыми бинарями, вроде su.

В сети есть много гайдов по тому, как зарутовать эмулятор, но они все датированы достаточно лохматым годом и почти не работают. Я в свое время написал для этого свои скрипты, которые работали на 7-м Android.

Автор же этой утилиты (набора скриптов), предлагает способ автоматизации этого процесса и гарантирует работоспособность на 9-м Android, что очень здорово!

Теперь, чтобы использовать все удобства Xposed достаточно запустить несколько команд и получить практически готовую среду! Ещё есть опция автоматом прописать СА сертификат от burp с системное хранилище, что упрощает перехват трафика.

Такая среда тестирования очень даже удобна, особенно, если вы больше любите писать на java (хуки для Xposed), а не JS (Frida).

#Android #Xposed #Emulator #Root

Xposed на Genymotion
В догонку к предыдущему сообщению, @c0de_l поделился модулем для Magisk под названием EdXposed.

Не пользовался им, но если правильно понимаю - это плагин для Magisk, который позволяет установить Xposed на устройстве с Android 9-й версии и выше и при этом пользоваться всеми удобствами и благами Magisk, например защитой от определения SafetyNet 😉

И более того, эта версия модуля специально предназначена для работы с бесплатной версией Genymotion! 🔥

#Android #Magisk #Genymotion

Онлайн-воркшоп по Android-разработке

Без знаний того, как устроены и работают мобильные приложения, взламывать их не получится (скорее всего).

А технологии, особенно в Android (как мне кажется), развиваются очень быстро и в скором времени начинаешь ощущать, что уже не всегда понимаешь что и как работает в приложении.

Иногда я хожу на разные бесплатные вебинары по разработке, чтобы хотябы понимать, что гуглить 😁 Как раз сегодня в 18:00 будет воркшоп для начинающих разработчиков. Судя по описанию, это совсем база, но если вы хотели понять, как написать первое приложение и из чего состоит Android приложуха - может быть полезно.

Это не реклама, просто ребята попросили поддержать бесплатное мероприятие. Почему бы и нет? :) Вдруг кому поможет)

#Android #Development

Распаковщик зашифрованных приложений

Несколько раз встречал вопросы про DexGuard, DexProtector и проблемы с анализом приложений, которые зашифрованы ими.

Сам я не сталкивался с анализом таких приложений, только читал про то, как ковыряют защиту и пытаются вытащить исходники.

На Github есть проект, который может с этим помочь. Основан на базе Frida и дампе расшифрованного dex-файла из памяти. Аналогичный механизм используется в frida-dump на iOS, чтобы получить расшифрованный ipa.

Работает скрипт на Android 4-11 и поддерживает "распаковку" Jiagu, DexProtector, DexGuard и Yidun. 🔥

#Android #DexProtector #DexGuard #Unpack #tools

Контроль над разноцветными IoT лентами

Сейчас дико распространены устройства IoT и их использование не требует знаний и умений в программировании, а процесс основан на базе воткни в розетку, введи пароль от своего WiFi, поздравляем, у тебя умный дом :D

Ну и конечно, толпа поделок с Китая не может быть без мобильных приложений и уязвимостях в них.

В статье автор рассказывает о трёх уязвимостях, которые позволяют получить полный контроль над аккаунтом пользователя и управлять подключенным девайсами.

Уязвимости не так, чтобы интересные, но последняя неплоха, с подменой ответа сервера. Но я был удивлен, что даже таким уязвимостям присваивают CVE.

#CVE #IoT #Android

Уязвимость Race Condition в Binder IPC

Про Binder было несколько постов, которые объясняли что это, как работает и для чего нужен. Но если кратко - это системный компонент, через который реализовано межпроцессное взаимодействие в Android.

Недавно Google закрыли уязвимость CVE-2020-0423, которая позволяла получить root-доступ на устройстве через взаимодействие с Binder.

В статье подробно описано, почему это происходило, как эта уязвимость работает, с примерами кода, логов и большому количеству отсылок к разным другим интересным статьям. И более того есть PoC эксплойта 🔥

#Android #Binder #IPC #CVE

Эксплуатация уязвимости в ядре Android

Люблю читать про сравнения безопасности Android и iOS, это всегда познавательно. Правда, обычно такие статьи относятся к разряду популистических или маркетинговых.

Но не в этом случае :) Один из участников Project Zero, специализирующийся на iOS решил попробовать свои силы с Android и нашёл несколько серьёзных уязвимостей.

Но более интересно в этой статье его сопоставление отличий в эксплуатации и мерах защиты в двух самых популярных мобильных операционных системах.

#Android #iOS #Kernel #Vulnerability

Исследование Heapdump Android приложений

Интересную статью про анализ дампа памяти посоветовал @testing_guy в нашем чате.

Автор описывает, как правильно снимать дамп, анализировать его и что в нем может быть интересного. Как пример использования - поиск расшифрованных данных, чтобы не утруждать себя анализом криптографии, используемой в приложении, а получить из памяти сразу нужные значения. Статья интересна, как обучающий материал, для понимая, как устроен дамп памяти и что в нем может быть интересного.

Как по мне, такого рода "уязвимости", то есть хранение открытых данных в памяти, в реальной жизни трудно реализуемы. Если только не найдется какая-то новая уязвимость типо Heartbleed для мобилок при помощи которой можно будет читать произвольные участки памяти.

Анализ дампа интересен, чтобы посмотреть, что в нем хранится, и поискать эти значения в других места (файлы, базы данных и т.д.). Или если приложение использует одинаковый ключ шифрования для всех установок. Тогда его можно попробовать вычислить или получить из памяти и использовать его для расшифровки данных с другого устройства.

#Android #Heapdump #Tools

Если сегодня к вечеру соберусь с силами, то сделаю стрим про хранение API ключей в нативном коде и покажу как это все оттуда достать без особых проблем. Разбор будет по мотивам статьи, которая недавно появилась в чате и, к моему удивлению, вызвала какие-то обсуждения даже.

https://youtu.be/jW5AoiIZlO8

Весь код, который показывал на стриме можно взять тут: https://github.com/Android-Guards/storing-api-keys

Хороший стрим и пример того, как не нужно хранить приватные ключи и что не стоит верить всем советам, среди них есть и плохие.

Один из таких советов - хардкодить ключи в нативном коде. Если верить совету, то их намного сложнее отыскать и злоумышленнику потребуется много времени, чтобы разреверситт ваше приложение.

На самом деле, это конечно же не так :)

Что и доказывает нам @OxFi5t в своем стриме. Спасибо ему! :)

Актуальная ссылка на видео:
https://www.youtube.com/watch?v=LpOvHhpcVG4

Всем привет!
Выходим из новогодних праздников и вкатываемся в рабочий режим)
И сразу отличный стрим по теме, на которой возникает большое количество вопросов - как защитить свое приложение от перехвата трафика и реализовать SSL-Pinning. А тем кто анализирует приложения - как правильно эту защиту можно снять.

В общем очень рекомендую послушать или посмотреть в записи, если не получится посмотреть online.

Благодарю всех, кто проголосовал. Стрим было решено перенести на рабочую неделю. Поэтому он состоится 14го января. Заодно попробуем настроиться на рабочий лад чтобы круто провести этот год.

Что будет на самом стриме: напишем и сразу сломаем приложение с двумя видами пиннинга. Покажу с чем сталкивается взломщик в обфусцированном приложении и насколько вообще просто открутить пиннинг руками.

https://youtu.be/QXUWaovckh8

Почему безопасность мобильных приложений важна?

Очень часто сталкиваюсь с вопросом, зачем делать мобильные приложение безопасными и зачем их проверять? По распространенному мнению, взломав такое приложение, вы получите данные только одного пользователя и это не так страшно, как например, уязвимости в серверной части.

В общем случае это может быть и так, но не стоит забывать о некоторых вещах:

- Уязвимости в мобильном приложении, если о них станет известно широкой публике (статьи, блоги, новости), может достаточно больно ударить по репутации компании. И это останется в интернете навсегда 🤓

- Мобильное приложение это первый эшелон на пути к вашему серверу. Проанализировав и изучив способ взаимодействия, намного легче искать уязвимости дальше.

- Если приложение использует, например, общий ключ шифрования для всех клиентов, то его компрометация поставит под вопрос безопасность всех клиентов

И ещё много интересных доводов, о которых вы наверняка знаете (можете поделиться ими в комментариях).

Если говорить о том, эксплуатируются ли уязвимости в мобильных приложениях "in the wild", есть ли понятие "0day" в отношении мобил? Однозначно да!

Об этом нам рассказывают эксперты из Google Project Zero в серии аж из шести статей, посвященных анализу эксплуатации нескольких 0day, в том числе и для мобильных устройств.

Это только то, что они нашли за время эксперимента по обнаружению подобных атак. Надеюсь, они оставят эту практику и мы узнаем о новых интересных способах эксплуатации уязвимостей.

Вывод простой, чтобы сделать свою систему безопасной, необходимо, чтобы все элементы системы были безопасны. Даже те,на которые не обращаешь должного внимания.

Как бы банально это не звучало 😁

#Android #Exploit #InTheWild

Установка Frida на Android, руководство для Mac

Отличный гайд по установке Frida на Android устройство и настройку среды для мака.

Конечно, Frida ставится без особых проблем, но если есть желание заскриптовать процесс установки или быстро кому-то объяснить, это заметка будет не лишней 😁

#Frida #Setup #Environment

Уже через час начинается стрим по одной из самых больных тем в части разработки - безопасность сетевого взаимодействия, а именно реализация и обход SSLPinning.

Присоединяйтесь, будет полезно!

Ссылочка на всякий случай для подключения, чтобы не искать:
https://youtu.be/QXUWaovckh8

Если кто-то вчера не успел посмотреть, то вот постоянная ссылка на запись:
https://youtu.be/Xn6CSqJpf6I

Убрано лишнее,остался самый сок :)

#Android #Pinning #SSL #Bypass