Автоматический скрипт для настройки редиректа трафика и добавления сертификата.

Недавно я писал про то, что ChatGPT мне никак не помог и в комментариях мы сошлись во мнении, что это пока игрушка или помощник, но никак не самостоятельный игрок.

И тут я нахожу репозиторий, который обещает автоматически конвертировать сертификат из Burp в нужный формат, добавлять его на устройство и редиректить трафик с устройства на Burp. И самое интересное, что он написан при помощи того самого ChatGPT.

Я ещё не пробовал, но мне прям интересно, взлетит или нет) Если будет работать, то это весьма удобный скрипт для быстрой настройки окружения. Как проверю, дам знать :) Ну или пишите в комментариях, если сможете попробовать раньше меня)

Неужели он все таки на что-то годится? 😁

#chatgpt #android #cert

Все, что вы хотели знать о CTF, но боялись спросить

Всем привет!
Сегодня у меня просто отличный повод написать пост, вышла потрясающая статья о CTF - "Соревнования Capture The Flag (CTF) и все, что вы о них еще не знали".

В статье простым языком рассказывается о том, что такое CTF, зачем они нужны и что делать, если ты никогда в них не участвовал, но хотел бы. Что особенно интересно - это формат повествования в виде интервью с именитыми CTF-ерами и организаторами:

- Егор Богомолов – победитель многочисленных CTF и участник bug-bounty, основатель компании Singleton Security, глава обучающего центра CyberED (бывш. «HackerU»)

- Омар Ганиев aka Beched, «этичный хакер», специалист по безопасности приложений и тестированию на проникновение, спикер различных конференций (Highload++, PHDays, ZeroNights, OWASP и т. д.), член сильнейшей российской CTF-команды «More Smoked Leet Chicken». Основал компанию DeteAct для разработки продуктов и оказания услуг по ИБ. Преподавал практическую безопасность в РТУ МИРЭА

- Влад Росков, капитан команды LC↯BC / More Smoked Leet Chicken, многократный победитель и организатор CTF (с сообществом SPbCTF)

- Константин Крючков, многократный участник CTF (команда Keva), организатор образовательных CTF в Swordfish Security

Как по мне вышло очень бодро и интересно! С удовольствием почитал ответы на вопросы ребят, классные истории и советы 😄
Ну и конечно, в виде бонуса итоговая табличка с наиболее популярными CTF в конце статьи.

Так что приятного чтения, надеюсь вам понравится также, как и мне!

#ctf #habr

Легальное клонирование приложений в Android 14

Вот это интересные новости, начиная с Android 14 появляется системная возможность клонирования приложений. То есть, можно поставить рядом, например, две копии мессенджера, который позволяет работать только с одного аккаунта или игр или чего угодно.

Чтобы включить эту возможность, надо зайти в Настройки -> Приложения -> Склонированные приложения (Settings > Apps > Cloned Apps)

Для нас это значит, что может быть сильно проще тестировать разные баги, связанные с некорректной авторизацией, иметь несколько приложений с разными аккаунтами или просто не бояться совсем «убить» один из клонов.

А на самом деле, это сильно напоминает историю с твиками для Jailbreak. Apple долгое время (и по сей день), борется с джейлом, но самые популярные твики со временем были перенесены в сам iOS. Раз люди этим активно пользуется, значит это может быть удобно и полезно.

И этом случае все аналогично, огромное количество приложений, которые помогают клонировать приложения на Android и вот эта фича уже в релизе :) Удобно!

#android #clone #news

Про хранение секретов в приложении и на устройстве

В процессе выступления на Mobius, один из слушателей скинул классную статью про хранение секретов в приложении на iOS, как их достать, что из них можно получить и рекомендацию, как можно попробовать сделать это менее палевно.

Кстати, в качестве примера используется приложение Swordfish.app, но это совпадение, правда-правда!! 😁😁😁

#secrets #ios

Снова анализируем Flutter

Сколько было уже сказано и написано про Flutter и сложность его анализа.

А вот ещё несколько статей на тему того, как анализировать приложения, собранные в release режиме. Весьма полезно и информативно.

Первая часть статьи знакомит нас с особенностями Flutter, его структурой и режимами сборки.

Вторая часть уже более практическая, с примерами кода и тестовым приложением для анализа.

Рекомендую тем, кто сталкивается с анализом Flutter приложений и хочет узнать что-то новое про способы взаимодействия с ними.

#flutter #analisys

AFL для фаззинга Android-приложений

Всем привет!

Нашел очень-очень интересную статью по использованию всеми любимого фаззера AFL++ для Android-приложений, с использованием Frida-режима.

Я, к сожалению, не очень силен в фаззинге, но даже мне стало интересно скрещивание этих двух монстров :)

Статья рассказывает нам, как провести тестирование нативных библиотек в различных режимах непосредственно на Android-устройстве. В статье это Samsung Galaxy A32 c Android 12 на борту и, чтобы все прошло успешно, необходимо собрать AFL++ под Android 🧐

Детально не садился, не разбирал, но судя по беглому взгляду рассказывается на трех примерах:
- standard native function
- JNI function that does not have a specific dependency on the application's bytecode
- JNI function that interacts with the application bytecode

И каждый из них детально разбирается и поясняется.

В общем, крайне интересно и, вероятно, может быть полезно!

И есть отсылка к крайне занятному инструменту - fpicker-aflpp-android, еще не смотрел, но примерно про тоже)

#android #fuzzing

Комментарий с выступления на Mobius.

Вот за это я и люблю выступать на различных конференциях.

Когда после твоего доклада у аудитории остается заинтересованность и желание покопаться в своем коде и взглянуть на функциональность немного с другой стороны.

Пусть у нескольких людей, пусть в нескольких приложениях, но мы стали немного защищеннее. Я не устану говорить, что те, кто пришли в нашу профессию должны помнить - мы стараемся ради пользователей и обычных людей, чтобы было невозможно их обмануть, вытащить их данные или каким бы то ни было способом навредить, а не ради метрик и показателей.

И спасибо всем, кто оставляет комментарии, это очень важно для спикеров и авторов. Причем неважно, позитивные они или негативные, главное, конструктивно. Это помогает делать контент лучше в следующий раз или вообще его делать :)

Всем хорошего солнечного дня!

#comments #mobius #talk

Выступаем на OFFZONE 2023!

Всем привет!
Уже совсем скоро пройдет очередная конференция OFFZONE! И лично для меня то одно из самых любимых мероприятий!

И если вы хотели бы выступить с докладом или подсветить какие-то исследования или рассказать что-то связанное с безопасностью - добро пожаловать в Call For Papers!

Он продлится до 17 июля и я уверен, докладов по мобилкам должно быть много! (очень на это надеюсь)

Так что подавайтесь, не стесняйтесь, выступать и делиться своими мыслями и идеями это действительно круто!

#offzone2023 #cfp

Ну и конечно, приходите на AppSec.Zone!

Исторически так сложилось, что каждый год я принимаю участие в организации AppSec Zone и каждый год доклады все круче и круче!
Все, что вы хотели знать об AppSec, но боялись спросить, доклады от тех, кто прошел большой путь в выстраивании процессов, находил крутые уязвимости или придумал новый способ анализа сервисов.

Все, кто хочет, могут или податься официально или, если сомневаетесь или стесняетесь - пишите мне в личные сообщения, помогу определиться с темой, уговорю выступить, подарю ништяки =)

Ну и конечно, больше докладов про мобильные приложения богу конференций! 😄

#appsec #offzone2023 #cfp

Продвинутое использование Frida. Часть 1

А вот и продвинутое использование Frida вслед за гайдом для начинающих.

Статья примечательна тем, что рассматривает решение практического сценария в одном из приложений с использованием Frida, попутно объясняя, зачем делается то или иное действие и к чему они приводят. Это уже весьма неплохой гайд с точи зрения понимания возможностей Frida и, может быть, примеров различных взаимодействий с нативными функциями.

Статья не очень большая и решает одну конкретную задачу в конкретном приложении, но может быть интересна тем, кто более плотно изучает frida для анализа iOS-приложений.

Вообще достаточно интересный блог у этой компании, подписался на него, буду периодически давать ссылки на них, если будет что-то интересное. Особо примечателен он тем, что много информации об iOS, что не часто встретишь, обычно любят рассматривать на примере более простого в понимании Android. И, что самое главное - он свежий, публикации за прошлый месяц этого года, что тоже немаловажно, так как все очень быстро развивается в мире мобильных приложений.

В любом случае, приятного и полезного чтения!

#iOS #frida #tutorial

SQL Injection в Android-приложениях

Вчера, общаясь на PhDays с коллегами, была поднята тема безопасности мобильных приложений и наиболее интересных уязвимостях в них.

Вот одна из интересных реальных инъекций в приложение, которая позволяет получать информацию из внутренней базы данных, а также любые файлы из внутренней песочницы приложения.

Это к слову о том, что данные во внутренней директории не нужно шифровать, так как они уже защищены средствами системы. НЕТ, не надо так больше, пожалуйста :)

Так что да, инъекции, хоть и не так часто, но встречаются в мобилках и последствия от них могут быть самыми серьёзными.

#injection #android #sql

Фреймворки тестирования мобильных приложений

Внутри нашего продукта Стингрей для автоматизации действий пользователя в приложении у нас есть два решения:
- Использование нашего механизма записи и воспроизведения тестовых сценариев (основан на координатах и перехвате функций по взаимодействию с UI приложения)
- Использование Appium-скриптов для взаимодействия с UI приложения

Это дает возможность использовать автоматизацию как пользователям, которые не умеют/не хотят заниматься программированием, так и тем, кто хочет большей гибкости при написании тестовых сценариев и умеет обращаться с кодом.

Фреймворк Appium был выбран нами не случайно, а как универсальное решение для iOS и Android устройств и так привычному нам подобию Selenium по синтаксису. Но возникает вопрос, а настолько ли популярен Appium и настолько ли универсален? Так как мы развиваемся и хотим добавить еще некоторые фреймворки есть вопрос, а какой фреймворк тестирования сейчас наиболее популярен и распространен? Я скину опрос чуть ниже, чтобы понять, куда нам рзвиваться и в какую сторону еще посмотреть.

И еще дело в том, что ко мне обратились коллеги из Касперского, которые создали свой собственный фреймворк для тестирования мобильных приложений - Kaspresso. К большому сожалению, я не большой эксперт в подобных вещах, но большое количество форков и звезд на гитхабе говорит о том, что люди им пользуются.

А в скором времени (24-го мая), коллеги проведут вебинар, в котором расскажут, как они вынесли этот фремворк в OpenSource, с какими трудностями внутри и снаружи столкнулись и как их преодолели. На мой взгляд, всем, кто делает собственные OpenSource-проекты можно послушать и, возможно, взять на заметку какие-то вещи. В любом случае, думаю, что это будет действительно интересно.

Я обязательно приду послушать, так что встретимся там)

#automation #appium #kaspersky #webinar

И немного о рекламе на канале...

Периодически у меня в канале проскакивают анонсы различных мероприятий или приглашений на различные мероприятия и розыгрыши различных призов, билетов и прочего.

Я решил немного прояснить ситуацию, как это происходит, скорее для собственного успокоения и ответов на вопросы тем, кто хочет приобрести рекламу в канале.

Я не публикую платные рекламные посты принципиально.

Я могу порекламировать какое-то мероприятие или статью или смежный инструмент/канал только если мне интересна эта тематика и я понимаю, что это теоретически может быть интересно мобильным аналитикам безопасности или разработчикам и если мероприятие бесплатное (ну или если я могу разыграть билет на него). Ну или если я заинтересован в привлечении людей (как в случае с CFP на различные конференции по безопасности).

Давно хотел это написать, но теперь вот наконец созрел. Только хороший контент, только полезные вещи без всякой шляпы =)

Так что всем хорошей и продуктивной недели!

#advertisement #webinars #реклама

Подписываюсь под каждым словом :))

В качестве эксперимента написал пару статей в журнал Positive Research и хочу поделиться этими статьями здесь. Там много текста, нет картинок и после нескольких итераций редактуры они не очень похожи на то, что я обычно пишу. Но в целом, получилось не стыдно и может быть аудитория этого канала тоже найдет в них что-то интересное для себя.

Безопасность мобильных приложений и устройств - подведение итогов прошлого года, небольшой разбор уязвимостей которые встречались, причин их возникновения и тренды на следующий год

Эволюция уязвимостей в приложениях для Android - в каком-то смысле логическое продолжение предыдущей статьи, в которой мне хотелось раскрыть подробнее некоторые тезисы и покопаться в том как эволюционируют уязвимости в Android. Разобрал вымирающие и актуальные виды уязвимостей, а также сделал небольшой прогноз на будущее. Но будущее скорее всего очень сильно посмеется над моими прогнозами 🙃

Сам журнал можно забрать здесь, а еще они были в печатном виде на прошедшем PHD.

Кэширование сетевых запросов в Cache.db

В продолжении темы статей Артема статья, которая описывает интересный файл Cache.db в iOS-приложениях, в который по умолчанию попадает кэш всех сетевых запросов, отправленных через NSURLSession.

И да, действительно, мы тоже очень часто встречаем подобное поведение и весьма много информации находим внутри таких вот кэширующих баз данных.

Но, в отличие от статьи, мы предлагаем достаточно подробные рекомендации, что именно необходимо сделать, чтобы предотвратить кэширование запросов.

#iOS #storage #vulns

Эксплуатация Android WebView при помощи Frida

Читая заголовок этой статьи от NowSecure, я надеялся на что-то крайнее интересное, как проверить все WebView на возможность загрузки произвольных URL, как через них получить файлы или вызвать выполнение кода через JS Interface и, конечно, советы по автоматизации.

Но реальность превзошла все ожидания! Такого я не ожидал...

А давайте-ка мы через Frida подменим адрес URL, который попадает в целевую вьюху и тогда он откроет нужную нам ссылку! А если на страничке будет JS-код, то он выполнится! 😄

Что-то конечно это забавно весьма. Но и полезное в статье есть, например использование ngrok. Тоже не божий дар, но удобно.

#Frida #android #ngrok #webview

И ещё немного про IoT, или как устроен электросамокат

Спасибо большое ребятам из позитива за приглашение, отлично поболтали на PhDays про опасности различных IoT систем, девайсов и векторов атак на них с использованием мобильных приложений.

И вот на глаза попалась интересная статья про анализ взаимодействия, разбор железа и анализ безопасности электросамоката одного из брендов Xiaomi - Brightway.

Тут и анализ BLE стека, и прошивка, и железо и анализ возможных атак. Очень интересно почитать, ведь именно благодаря таким статьям можно попробовать взломать самокат Яндекса себя в разных областях и посмотреть на умные игрушки под другим углом.

Всем хороших выходных и приятного чтения!

#ble #hardware #analisys

Динамическая подгрузка и исполнение кода в Android

Всем привет!
Не секрет, что различная малварь на Android для расширения своего функционала и для того, чтобы меньше палиться при анализе использует техники динамической загрузки кода и его выполнения. и правда, это крайне удобно!

В этой статье описаны три различных способа динамической подгрузки кода в Android-приложениях. И действительно, я согласен с автором, нельзя правильно анализировать и исследовать эти техники, если не понимаешь, как они работают.

«Only when we create something, we are able to fully understand how it operates and then later on figure out ways to detect it»

Именно поэтому, на мой взгляд, лучшими аппсеками становятся бывшие разработчики. Так что учитесь не только ломать, но и создавать :D

#android #code