Запись вебинара

Друзья, спасибо огромное всем, кто нашел время и силы присоединиться и послушать мои мысли на счет необходимости защиты мобильных приложений.

Очень надеюсь, что понравилось и каждый вынес какие-то новые для себя мысли или идеи!

Мне очень важна ваша поддержка, спасибо огромное!

Ну и как обещал, запись вебинара доступна по ссылке.

До встречи в следующей серии :)

#webinar

Пост про применение ChatGPT и аналогов при анализе мобильных приложений.

Всем привет!

Я тут на выходных немного экспериментировал с ChatGPT и попросил его сгенерировать различных скриптов, которые могли бы помочь с поиском уязвимостей или хотя бы облегчить какие-то вещи, которые нужно ресерчить. Ну и вообще было интересно, что это за зверь такой.

И результат меня очень сильно удивил (нет). Из порядка 15 задач "ИИ" решил примерно 0. То есть ни одного работающего примера из коробки и даже после пары уточняющих вопросов он не выдал.

При просьбе написать какие-то обзорные вещи из разряда "Самые распространенные уязвимости" он выдал обобщенный список из 5 пунктов с 5-ю ссылками на несуществующие статьи. 🙃 И даже после поиска, как мне предложили, результат особенно сильно не изменился.

В общем на мой взгляд, эта штука может быть неплоха, если ты в чем-то уперся (в исследовании какой-то функции или реализации чего-то не самого популярного) и нужен некоторый свежий взгляд. ChatGPT может помочь найти идею или дать направление, но точно не готовое или примерно работающее решение.

Потратив несколько дней на попытки сделать хоть что-то работающее, я забил. Frida и Python это точно не его сильные стороны. Причем как в связке, так и по отдельности (распарсить текст в структуру он так и не осилил). Но вот письмо для рассылки написал неплохое (по структуре, но не по содержанию).

Может быть у кого-то был позитивный опыт использования таких инструментов для нашей области (кроме генерации fuzzing-листов) и он им поделится, я был бы рад изменить свое мнение.

#chatgpt #openai

А вот и текст новости от ChatGPT

Все ссылки битые, так как ChatGPT не дает нормальные и просит их загуглить.

Запрос: напиши, пожалуйста, небольшую статью про наиболее часто встречающиеся уязвимости в андроид приложениях за 2022 год со ссылками на статьи и исследования

Ответ: В 2022 году было обнаружено несколько уязвимостей в андроид приложениях, которые остаются наиболее распространенными и серьезными. Ниже перечислены некоторые из них.

1. Уязвимость раскрытия конфиденциальной информации. Эта уязвимость позволяет злоумышленникам получать доступ к конфиденциальной информации, такой как пароли, данные кредитных карт и другие личные данные. Исследования показывают, что более 90% андроид-приложений содержат какую-то форму уязвимости раскрытия конфиденциальной информации. Статья на эту тему: https://www.darkreading.com/application-security/weak-android-apps-leave-users-vulnerable-to-attack/d/d-id/1341547

2. Уязвимость небезопасного хранения данных. Эта уязвимость позволяет злоумышленникам получать доступ к хранимым на устройстве данных, таким как фотографии, заметки и другие личные данные. Исследования показывают, что более 80% андроид-приложений содержат какую-то форму уязвимости небезопасного хранения данных. Статья на эту тему: https://securityintelligence.com/posts/data-leakage-and-poor-data-storage-practices-found-in-mobile-apps/

3. Уязвимость небезопасного взаимодействия с сетью. Эта уязвимость позволяет злоумышленникам перехватывать данные, передаваемые между приложением и сервером, таким образом, злоумышленники могут получить доступ к конфиденциальным данным. Исследования показывают, что более 70% андроид-приложений содержат какую-то форму уязвимости небезопасного взаимодействия с сетью. Статья на эту тему: https://www.helpnetsecurity.com/2022/02/02/insecure-network-interactions-android-apps/

4. Уязвимость недостаточной проверки входных данных. Эта уязвимость позволяет злоумышленникам отправлять неправильные данные в приложение, таким образом, они могут перехватывать и изменять входные данные. Исследования показывают, что более 50% андроид-приложений содержат какую-то форму уязвимости недостаточной проверки входных данных. Статья на эту тему: https://www.securityweek.com/mobile-app-security-lack-input-validation-top-vulnerability

Заблуждения о безопасности мобильных приложений

После долгого затишья я наконец-то дописал и опубликовал статью по мотивам вебинара - «Мифы о безопасности мобильных приложений».

Данные для этой статьи я копил годами и больше не могу уже терпеть) Я собрал наиболее часто встречающиеся заблуждения, которые я слышу, когда речь заходит о безопасности мобильных приложений. Это то, с чем мне приходится сталкиваться очень часто и постоянно говорить одно и то же.

Я решился объединить все эти мысли и домыслы в один большой текст и выразить свое мнение по этому поводу.

Надеюсь, вам будет интересно почитать и, скорее всего есть что добавить или поспорить, так что не стесняйтесь, может я вообще не прав и мобилки это действительно просто витрина данных для бэкенда? 🙃

#habr #webinar #mobilesecurity

Включение Frida в сборки iOS в TestFlight

Что делать, если jailbreak-устройства нет под рукой или они запрещены доя использования в компании (ну мало ли), а проверять приложения при помощи Frida очень хочется.

Тут можно пойти несколькими путями, первый это тестирование на М1, на котором можно запустить любые iOS-приложения и цепляться к ним при помощи Frida.

Второй подход описан в статье и весьма интересен, это включение Frida gadget в сборку вашего приложения. Автор описывает, как сделать так, чтобы сборка с либой Frida прошла через проверку AppStore Connect и появилась в TestFlight!

Весьма необычный кейс, на мой взгляд. Главное - из релизной сборки не забыть исключить)))

#ios #frida #testflight

Всем привет!

Весьма скоро буду выступать на конференции с темой про наиболее часто встречающиеся уязвимости в мобильных приложениях, которые мы встречали в 2022 году и на что обращать внимание при их поиске.

Присоединяйтесь, постараюсь сделать доклад интересным и веселым :)

Перехват трафика в Android

Сколько вопросов, столько и гайдов по тому, как же все-таки осуществить перехват трафика приложения в Android… Да что там, я и сам недавно гуглил, как завернуть трафик эмулятора через прокси в новом интерфейсе Android Studio :)

А вот и еще одна статья по данной тематике, но, честно говоря мне почему-то она очень понравилась. Или контент или оформление в виде инструкции по шагам, или использование HTTP Toolkit в качестве VPN/прокси, но я решил о ней написать.

Плюс, для начинающих, если заглянуть в список репозиториев, то можно лучше понять, как работать со студией и эмуляторами, что тоже немаловажно.

В общем, пользуйтесь, если кто не знал или никогда не смотрел в сторону заворачивания трафика через VPN.

И хороших вам всем выходных!

#android. #pinning #proxy

Митап сегодня

Всем привет!

Уже в трансляции вебинар, на котором немного расскажу про типовые уязвимости, с которыми мы сталкивались за прошлый год.

К сожалению, не успею рассказать, все, что хотелось, но надеюсь на вторую серию :)

Присоединяйтесь!

И снова конкурс на Mobius 2023 Spring!

Всем привет!

Как многие из вас знают, совсем скоро (12-13 и 19-20 мая) пройдет конференция Mobius, посвященная мобильным приложениям. В этот раз мне повезло быть спикером и выступить в "главной студии" с докладом про мифы и легенды о безопасности мобильных приложений с примерами реальных уязвимостей, что мы находили в процессе своей работы.

В связи с этим я бы хотел разыграть билет на это мероприятие.

Задание конкурса заключается в следующем:
Напишите в комментариях к этому посту с тэгом #mobius2023, где вы находите и отслеживаете информацию о новых уязвимостях, атаках, инструментах анализа и подходов к тестированию и прочим интересным штукам. Это может быть любые материалы, люди, rss, TG-каналы и прочее.
По количеству участников посмотрим, либо выберу сам, либо великий рандом мне поможет, если не смогу определиться 😁

Так как задание не самое сложное и мероприятие уже близко, итоги конкурса подведем в пятницу перед майскими праздниками. Плюс, анонсирую небольшой бонус тем, кто захочет все-таки купить билет.

Так что не стесняйтесь, накидывайте, составим небольшую карту полезных ресурсов, думаю, что будет интересно!

До пятницы!

#mobius #конкурс #анонс

Итоги конкурса

Всем привет и отличных выходных!

Пришло время подвести итоги конкурса! Я посмотрел все ссылки на материалы, что вы скинули и выбрал ту, о которой не знал и которая показалась мне наиболее подходящей и интересной!

Итак, побеждает и получает билет @noble_activity за ссылку на канал https://t.me/androidMalware!

Поздравляю, с тобой а ближайшее время свяжется организатор и расскажет, как получить свой бесплатный билет на конференцию Mobius!

Думаю, что в этом году будет много хорошего контента) По крайней мере, судя по описанию, можно найти много интересного

Ну п следующим постом будет репост с канала, который оказался в победителях)

#Mobius #conference #конкурс

Android Deep Link Issues And WebView Exploitation
https://8ksec.io/android-deeplink-and-webview-exploitation-8ksec-blogs/

Гайды для начинающих или Android/iOS Cheat sheets

Всем привет!

С наступающими праздниками! И конечно, чем же ще зняться в праздники, кроме как изучением чего-то нового. И как правило, в этом могу помочь гайды/сборники с общей информацией, доступные в едином месте. Такими и являются различные cheatsheet-ы и прочие awesome-репозитории.

Сегодня мне приглянулись два из них. достаточно неплохие для того, кто только начинает знакомиться с миром мобильной безопасности. Два репозитория от одного автора, что интересно, они поддерживаются и обновляются (4 часа назад последнее изменение). Создан он был, как подарок мне на день рождения (23 апреля) и достаточно "свеж", так что более-менее актуален и, надеюсь, автор это дело не забросит.

Ссылки на репозитории:
- Android
- iOS

Для тех, кто давно уже занимается безопасностью, все равно рекомендую просматривать такие репозитории, всегда можно найти что-то новое или какую-то идею/статью для дальнейшего анализа.

Всем хороших праздников!

#Android #iOS #cheatrSheet #github

Frida для начинающих

Всем привет!
Что-то последнее время часто встречаю гайды для только вкатывающихся в тему безопасности мобилок.

И вот такой гайд, я бы даже назвал его методичкой по использованию Frida. Весьма неплохой, есть и обычные примеры для начинающих, и объяснение, зачем это все нужно и как примерно работает. Но наиболее интересная часть про практическое применение, про расшифровку паролей, вызов методов напрямую и т.д.

Весьма советую тем, кто использует (начинает) Frida и тем, кому от неё защищаться (ведь всегда полезно знать, как работает то, от чего ты пытаешься написать защиту). Ведь даже если ты зашифровал что-то, для расшифровки вполне можно вызвать функцию напрямую, конечно, если не использовать биометрию в качестве права на получение доступа к криптообъекту ;)

В общем, хорошая штука.

И всех с праздником!!

#Frida #beginnerguide #android

Автоматический скрипт для настройки редиректа трафика и добавления сертификата.

Недавно я писал про то, что ChatGPT мне никак не помог и в комментариях мы сошлись во мнении, что это пока игрушка или помощник, но никак не самостоятельный игрок.

И тут я нахожу репозиторий, который обещает автоматически конвертировать сертификат из Burp в нужный формат, добавлять его на устройство и редиректить трафик с устройства на Burp. И самое интересное, что он написан при помощи того самого ChatGPT.

Я ещё не пробовал, но мне прям интересно, взлетит или нет) Если будет работать, то это весьма удобный скрипт для быстрой настройки окружения. Как проверю, дам знать :) Ну или пишите в комментариях, если сможете попробовать раньше меня)

Неужели он все таки на что-то годится? 😁

#chatgpt #android #cert

Все, что вы хотели знать о CTF, но боялись спросить

Всем привет!
Сегодня у меня просто отличный повод написать пост, вышла потрясающая статья о CTF - "Соревнования Capture The Flag (CTF) и все, что вы о них еще не знали".

В статье простым языком рассказывается о том, что такое CTF, зачем они нужны и что делать, если ты никогда в них не участвовал, но хотел бы. Что особенно интересно - это формат повествования в виде интервью с именитыми CTF-ерами и организаторами:

- Егор Богомолов – победитель многочисленных CTF и участник bug-bounty, основатель компании Singleton Security, глава обучающего центра CyberED (бывш. «HackerU»)

- Омар Ганиев aka Beched, «этичный хакер», специалист по безопасности приложений и тестированию на проникновение, спикер различных конференций (Highload++, PHDays, ZeroNights, OWASP и т. д.), член сильнейшей российской CTF-команды «More Smoked Leet Chicken». Основал компанию DeteAct для разработки продуктов и оказания услуг по ИБ. Преподавал практическую безопасность в РТУ МИРЭА

- Влад Росков, капитан команды LC↯BC / More Smoked Leet Chicken, многократный победитель и организатор CTF (с сообществом SPbCTF)

- Константин Крючков, многократный участник CTF (команда Keva), организатор образовательных CTF в Swordfish Security

Как по мне вышло очень бодро и интересно! С удовольствием почитал ответы на вопросы ребят, классные истории и советы 😄
Ну и конечно, в виде бонуса итоговая табличка с наиболее популярными CTF в конце статьи.

Так что приятного чтения, надеюсь вам понравится также, как и мне!

#ctf #habr

Легальное клонирование приложений в Android 14

Вот это интересные новости, начиная с Android 14 появляется системная возможность клонирования приложений. То есть, можно поставить рядом, например, две копии мессенджера, который позволяет работать только с одного аккаунта или игр или чего угодно.

Чтобы включить эту возможность, надо зайти в Настройки -> Приложения -> Склонированные приложения (Settings > Apps > Cloned Apps)

Для нас это значит, что может быть сильно проще тестировать разные баги, связанные с некорректной авторизацией, иметь несколько приложений с разными аккаунтами или просто не бояться совсем «убить» один из клонов.

А на самом деле, это сильно напоминает историю с твиками для Jailbreak. Apple долгое время (и по сей день), борется с джейлом, но самые популярные твики со временем были перенесены в сам iOS. Раз люди этим активно пользуется, значит это может быть удобно и полезно.

И этом случае все аналогично, огромное количество приложений, которые помогают клонировать приложения на Android и вот эта фича уже в релизе :) Удобно!

#android #clone #news

Про хранение секретов в приложении и на устройстве

В процессе выступления на Mobius, один из слушателей скинул классную статью про хранение секретов в приложении на iOS, как их достать, что из них можно получить и рекомендацию, как можно попробовать сделать это менее палевно.

Кстати, в качестве примера используется приложение Swordfish.app, но это совпадение, правда-правда!! 😁😁😁

#secrets #ios

Снова анализируем Flutter

Сколько было уже сказано и написано про Flutter и сложность его анализа.

А вот ещё несколько статей на тему того, как анализировать приложения, собранные в release режиме. Весьма полезно и информативно.

Первая часть статьи знакомит нас с особенностями Flutter, его структурой и режимами сборки.

Вторая часть уже более практическая, с примерами кода и тестовым приложением для анализа.

Рекомендую тем, кто сталкивается с анализом Flutter приложений и хочет узнать что-то новое про способы взаимодействия с ними.

#flutter #analisys

AFL для фаззинга Android-приложений

Всем привет!

Нашел очень-очень интересную статью по использованию всеми любимого фаззера AFL++ для Android-приложений, с использованием Frida-режима.

Я, к сожалению, не очень силен в фаззинге, но даже мне стало интересно скрещивание этих двух монстров :)

Статья рассказывает нам, как провести тестирование нативных библиотек в различных режимах непосредственно на Android-устройстве. В статье это Samsung Galaxy A32 c Android 12 на борту и, чтобы все прошло успешно, необходимо собрать AFL++ под Android 🧐

Детально не садился, не разбирал, но судя по беглому взгляду рассказывается на трех примерах:
- standard native function
- JNI function that does not have a specific dependency on the application's bytecode
- JNI function that interacts with the application bytecode

И каждый из них детально разбирается и поясняется.

В общем, крайне интересно и, вероятно, может быть полезно!

И есть отсылка к крайне занятному инструменту - fpicker-aflpp-android, еще не смотрел, но примерно про тоже)

#android #fuzzing

Комментарий с выступления на Mobius.

Вот за это я и люблю выступать на различных конференциях.

Когда после твоего доклада у аудитории остается заинтересованность и желание покопаться в своем коде и взглянуть на функциональность немного с другой стороны.

Пусть у нескольких людей, пусть в нескольких приложениях, но мы стали немного защищеннее. Я не устану говорить, что те, кто пришли в нашу профессию должны помнить - мы стараемся ради пользователей и обычных людей, чтобы было невозможно их обмануть, вытащить их данные или каким бы то ни было способом навредить, а не ради метрик и показателей.

И спасибо всем, кто оставляет комментарии, это очень важно для спикеров и авторов. Причем неважно, позитивные они или негативные, главное, конструктивно. Это помогает делать контент лучше в следующий раз или вообще его делать :)

Всем хорошего солнечного дня!

#comments #mobius #talk