Вторая часть исследования iOS-приложений под обфускацией
Почитав блог из предыдущей статьи, я нашел у автора вторую часть этой, на самом деле, крайне полезной статьи.
Вдохновившись анализом и защитой SignPass, автор нашел еще одно приложение, которое было пропущено через тот же обфускатор, но включало в себя намного более строгие проверки в рантайме.
Что мне понравилось, это способ "защиты" от анализа crash-лога приложения, когда оно падает или аварийно завершается при обнаружении Frida или jailbreak. А именно, перед завершением работы обфускатор затирает некоторые регистры, например LR. А в твуом формате iOS-служба для анализа сбоев не может правильно построить стек вызовов функций, которые привели к сбою. Очень занятно, так как из crash-лога можно было бы получить нужную информацию.о том, где происходят проверки.
Как и в первой статье, подробно расписано, как и что автор делал, чтобы найти точки в приложении, где реализована защита, как он ее обходил и как именно это приложение было защищено.
Ну и конечно, в статье много хороших отсылок на другие полезные статьи. Некоторые из них, если вам лень с утра пораньше открывать и читать статью:
- Deobfuscation: recovering an OLLVM-protected program
- Automated Detection of Control-flow Flattening
- D810: A journey into control flow unflattening
В общем, настоятельно рекомендую ознакомиться всем, кто занимается iOS и реверсом, крайне полезная штука.
#ios #reverse #rasp #frida #obfuscation
Почитав блог из предыдущей статьи, я нашел у автора вторую часть этой, на самом деле, крайне полезной статьи.
Вдохновившись анализом и защитой SignPass, автор нашел еще одно приложение, которое было пропущено через тот же обфускатор, но включало в себя намного более строгие проверки в рантайме.
Что мне понравилось, это способ "защиты" от анализа crash-лога приложения, когда оно падает или аварийно завершается при обнаружении Frida или jailbreak. А именно, перед завершением работы обфускатор затирает некоторые регистры, например LR. А в твуом формате iOS-служба для анализа сбоев не может правильно построить стек вызовов функций, которые привели к сбою. Очень занятно, так как из crash-лога можно было бы получить нужную информацию.о том, где происходят проверки.
Как и в первой статье, подробно расписано, как и что автор делал, чтобы найти точки в приложении, где реализована защита, как он ее обходил и как именно это приложение было защищено.
Ну и конечно, в статье много хороших отсылок на другие полезные статьи. Некоторые из них, если вам лень с утра пораньше открывать и читать статью:
- Deobfuscation: recovering an OLLVM-protected program
- Automated Detection of Control-flow Flattening
- D810: A journey into control flow unflattening
В общем, настоятельно рекомендую ознакомиться всем, кто занимается iOS и реверсом, крайне полезная штука.
#ios #reverse #rasp #frida #obfuscation
Romain Thomas
Part 2 – iOS Native Code Obfuscation and Syscall Hooking | Romain Thomas
This second blog post deals with native code obfuscation and RASP syscall interception
Заметки на полях. Дебаг нативных библиотек при помощи IDA
В соседнем чате прислали интересную небольшую инструкцию, как можно удобно дебажить нативные библиотеки при помощи IDA:
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/debugging-android-libraries-using-ida/
#IDA #android #reverse #debug
В соседнем чате прислали интересную небольшую инструкцию, как можно удобно дебажить нативные библиотеки при помощи IDA:
https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/debugging-android-libraries-using-ida/
#IDA #android #reverse #debug
Trustwave
Debugging Android Libraries using IDA
During a recent test, I encountered a native JNI library used by an Android application. I needed to understand this library and what it did, so the first step was to load the library in IDA to see what it...
Mobile AppSec World
Реверс iOS-приложений для начинающих Отличная статья по реверсу и модификации iOS-приложений доя начинающих! Никаких больших и тяжелых софтин, вроде IDA, дизассемблеров и прочего, только классика: otool, cycript и lldb. Очень рекомендую всем, кто желает…
Начнем новый год с продолжения статей по реверсу iOS
С того времени, как вышла эта статья, в ней появилось еще две главы
- Guide to Reversing and Exploiting iOS binaries Part 2: ARM64 ROP Chains
- Heap Overflows on iOS ARM64: Heap Spraying, Use-After-Free (Part 3)
Как обычно, используются только бесплатные утилиты:
- LLDB - https://lldb.llvm.org/
- Radare 2 - https://rada.re/n/
- Hopper Disassembler (DEMO Version) - https://www.hopperapp.com/
Все очень наглядно и доступно рассказано, но как обычно, дьявол кроется в деталях. На простом и маленьком приложении (которые любезно предоставил автор для каждой статьи) это просто, но насколько сложно это будет сделать в обычном приложении из маркета - хороший вопрос.
Как обычно, все решает практика, пока не попробуешь и не начнешь что-то делать, слабо представляешь, какого это на самом деле)
Так что дерзайте, у нас весь год впереди, чтобы научиться чему-то новому и интересному. Может как раз в этом году ты начнешь реверсить или разберешься с Frida?)
В общем, друзья, всем удачного и насыщенного года!
#iOS #reverse #newYear
С того времени, как вышла эта статья, в ней появилось еще две главы
- Guide to Reversing and Exploiting iOS binaries Part 2: ARM64 ROP Chains
- Heap Overflows on iOS ARM64: Heap Spraying, Use-After-Free (Part 3)
Как обычно, используются только бесплатные утилиты:
- LLDB - https://lldb.llvm.org/
- Radare 2 - https://rada.re/n/
- Hopper Disassembler (DEMO Version) - https://www.hopperapp.com/
Все очень наглядно и доступно рассказано, но как обычно, дьявол кроется в деталях. На простом и маленьком приложении (которые любезно предоставил автор для каждой статьи) это просто, но насколько сложно это будет сделать в обычном приложении из маркета - хороший вопрос.
Как обычно, все решает практика, пока не попробуешь и не начнешь что-то делать, слабо представляешь, какого это на самом деле)
Так что дерзайте, у нас весь год впереди, чтобы научиться чему-то новому и интересному. Может как раз в этом году ты начнешь реверсить или разберешься с Frida?)
В общем, друзья, всем удачного и насыщенного года!
#iOS #reverse #newYear
Inversecos
Guide to Reversing and Exploiting iOS binaries Part 2: ARM64 ROP Chains
Kernel Debug View
Оказывается, ядро iOS и macOS умеет создавать отладочные сообщения и логировать, какие функции вызываются в ядре.
Как можно это провернуть и сопоставлять trace с фактически вызываемыми функциями, показано в отличном видео!
А на самом деле, если зайти в этот плейлист, то можно найти там шикарные короткие видео-заметки по реверсу iOS-приложений.
Более того, если посмотреть на канал автора целиком, то там есть ооочень много крутого контента!
Как минимум:
- воркшоп по анализу iOS-приложений в трех частях
- запись 41 выступления
- лаба по реверсу
И много других полезных штук, так что хороших и плодотворных выходных!
#iOS #reverse #frida #youtube
Оказывается, ядро iOS и macOS умеет создавать отладочные сообщения и логировать, какие функции вызываются в ядре.
Как можно это провернуть и сопоставлять trace с фактически вызываемыми функциями, показано в отличном видео!
А на самом деле, если зайти в этот плейлист, то можно найти там шикарные короткие видео-заметки по реверсу iOS-приложений.
Более того, если посмотреть на канал автора целиком, то там есть ооочень много крутого контента!
Как минимум:
- воркшоп по анализу iOS-приложений в трех частях
- запись 41 выступления
- лаба по реверсу
И много других полезных штук, так что хороших и плодотворных выходных!
#iOS #reverse #frida #youtube
YouTube
[0x0b] Reversing Shorts :: iOS & macOS Kernel Debug View
See what's happening live inside the XNU kernel without any complicated debug and patching setup. Various places in the kernel have kernel_debug statements, which can be observed from user space with kdv (Kernel Debug View).
Full playlist of reversing shorts:…
Full playlist of reversing shorts:…
Анализ Xamarin-приложений.
Хотя я и очень не люблю кроссплатформенные приложения, но приходится весьма часто иметь с ними дело.
В последнее время, это конечно все больше Flutter, но встречаются еще и на других платформах.
Одна из таких платформ - это Xamarin. В статье очень здорово описана сама технология, есть описание структуры и архитектуры таких приложений, а также перечислены различные инструменты и техники по анализу подобных приложений.
Если вы никогда не сталкивались с подобным и вот нужно что-то проанализировать, эта статья отличная отправная точка для этого.
Кстати, в соседнем чате от @OxFi5t тоже есть очень классный совет по Xamarin-приложениям, переходите, читайте обязательно :)
#xamarin #reverse #tools
Хотя я и очень не люблю кроссплатформенные приложения, но приходится весьма часто иметь с ними дело.
В последнее время, это конечно все больше Flutter, но встречаются еще и на других платформах.
Одна из таких платформ - это Xamarin. В статье очень здорово описана сама технология, есть описание структуры и архитектуры таких приложений, а также перечислены различные инструменты и техники по анализу подобных приложений.
Если вы никогда не сталкивались с подобным и вот нужно что-то проанализировать, эта статья отличная отправная точка для этого.
Кстати, в соседнем чате от @OxFi5t тоже есть очень классный совет по Xamarin-приложениям, переходите, читайте обязательно :)
#xamarin #reverse #tools
Appknox
Xamarin Reverse Engineering: A Guide for Penetration Testers
Learn the essentials of reverse engineering Xamarin apps and why penetration testing is essential to keep your mobile applications secure
Mobile AppSec World
Пишем Android-приложение практически полностью в NDK Привет любителям прятать строки в .so файлах, что бы их сложнее было найти! Тут есть крайне занятный пример, как практически полностью написать приложение, используя NDK для того, чтобы усложнить анализ…
Много полезных видео для реверса
Решил я пересмотреть видео и глянуть, а что там ещё интересного у автора в видео лежит.
А там крайне много интересной информации, начиная от начального уровня (анализ и структура файла Info.plist), заканчивая весьма сложными вещами (на по крайней мере для меня), как пример - Ghydra Scripting.
Так что всем любителям и профессионалам реверса, которым заходит видео-контент, крайне рекомендую.
#YouTube #reverse
Решил я пересмотреть видео и глянуть, а что там ещё интересного у автора в видео лежит.
А там крайне много интересной информации, начиная от начального уровня (анализ и структура файла Info.plist), заканчивая весьма сложными вещами (на по крайней мере для меня), как пример - Ghydra Scripting.
Так что всем любителям и профессионалам реверса, которым заходит видео-контент, крайне рекомендую.
#YouTube #reverse
YouTube
Exploring Info.plist: Essential Knowledge for iOS Reverse Engineering
In this video, we dive into the Info.plist and discover the relevant sections for iOS Reverse Engineering and security analysis. We also write a quick python script to manually decode binary plists!
---
Timestamp:
00:00 Intro
00:49 Filza File Manager Example…
---
Timestamp:
00:00 Intro
00:49 Filza File Manager Example…
Azeria Labs - обучение реверсу
Тут в комментариях подсказали еще один отличный ресурс по реверсу - Azeria Labs.
У них есть приватный контент, куросв и книги за деньги, но в тоже время есть и открытая часть, которая на первый взгляд очень насыщенная.
При этом есть и общая часть и статьи непосредственно относящиеся к iOS, например:
1. HEAP EXPLOIT DEVELOPMENT – CASE STUDY FROM AN IN-THE-WILD IOS 0-DAY
2. HEAP OVERFLOWS AND THE IOS KERNEL HEAP
3. GROOMING THE IOS KERNEL HEAP
Так что будет интересно и людям, кто занимается мобилками и всем, кто занимается реверсом.
#reverse #ios
Тут в комментариях подсказали еще один отличный ресурс по реверсу - Azeria Labs.
У них есть приватный контент, куросв и книги за деньги, но в тоже время есть и открытая часть, которая на первый взгляд очень насыщенная.
При этом есть и общая часть и статьи непосредственно относящиеся к iOS, например:
1. HEAP EXPLOIT DEVELOPMENT – CASE STUDY FROM AN IN-THE-WILD IOS 0-DAY
2. HEAP OVERFLOWS AND THE IOS KERNEL HEAP
3. GROOMING THE IOS KERNEL HEAP
Так что будет интересно и людям, кто занимается мобилками и всем, кто занимается реверсом.
#reverse #ios
Azeria-Labs
Heap Exploit Development
Deobfuscating Android ARM64 strings with Ghidra
Очень подробная и очень интересная статья про то, как можно автоматизировать процесс деобфускации строк в приложении с использованием Ghidra. Пример, конечно, надуманный, но общий смысл задает верно и на практике можно в подобных случаях воспользоваться идеей.
Но намного более интересно, это подробное описание взаимодействия с Ghidra, как использовать, как отлаживать, как автоматизировать через Python.
Очень советую тем, кто работает с этим инструментом или планирует изучать.
#android #ghidra #reverse
Очень подробная и очень интересная статья про то, как можно автоматизировать процесс деобфускации строк в приложении с использованием Ghidra. Пример, конечно, надуманный, но общий смысл задает верно и на практике можно в подобных случаях воспользоваться идеей.
Но намного более интересно, это подробное описание взаимодействия с Ghidra, как использовать, как отлаживать, как автоматизировать через Python.
Очень советую тем, кто работает с этим инструментом или планирует изучать.
#android #ghidra #reverse
NVISO Labs
Deobfuscating Android ARM64 strings with Ghidra: Emulating, Patching, and Automating
In a recent engagement I had to deal with some custom encrypted strings inside an Android ARM64 app. I had a lot of fun reversing the app and in the process I learned a few cool new techniques whic…
Обход защиты от отладки в iOS-приложениях.
Всем привет!
Свежая, отличная статья по обходу различных проверок в iOS-приложениях.
В статье описывается логика и принцип различных защитных техник, а так же, как их можно обойти. При обходе используются инструменты:
- frida
- r2frida
- radare2
- r2ghidra
И главное, крайне подробно и доходчиво описаны способы поиска защитных механизмов и исследования логики их работы. Ну, и конечно, как их потом отключить.
Всем, кто сталкивается с тем, что приложение детектит скомпометированную среду, советую!
#ios #reverse #frida
Всем привет!
Свежая, отличная статья по обходу различных проверок в iOS-приложениях.
В статье описывается логика и принцип различных защитных техник, а так же, как их можно обойти. При обходе используются инструменты:
- frida
- r2frida
- radare2
- r2ghidra
И главное, крайне подробно и доходчиво описаны способы поиска защитных механизмов и исследования логики их работы. Ну, и конечно, как их потом отключить.
Всем, кто сталкивается с тем, что приложение детектит скомпометированную среду, советую!
#ios #reverse #frida
Twelvesec
Bypassing anti-reversing defences in iOS applications - Twelvesec
A walktrough on dynamically bypassing anti-debugging and anti-reversing defences in iOS applications.
Реверс Flutter-приложений
И снова речь пойдёт о Reflutter и как с ним работать!
Шутка :)
Это презентация с nullcoin, в которой рассказывают о внутреннем строении таких приложений и о том, как их можно разреверсить. В качестве подопытного взяли приложение на Flutter из GreHack CTF 2023.
Достаточно продвинутый и подробный доклад, можно очень много нового и интересного почерпнуть, если занимаетесь реверсом. Для меня немного сложновато, но думаю, найдутся те, кому он будет по душе.
К сожалению, в статье только презентация, но я нашел еще и видео выступления. Так что можно ознакомиться полностью.
#flutter #reverse
И снова речь пойдёт о Reflutter и как с ним работать!
Шутка :)
Это презентация с nullcoin, в которой рассказывают о внутреннем строении таких приложений и о том, как их можно разреверсить. В качестве подопытного взяли приложение на Flutter из GreHack CTF 2023.
Достаточно продвинутый и подробный доклад, можно очень много нового и интересного почерпнуть, если занимаетесь реверсом. Для меня немного сложновато, но думаю, найдутся те, кому он будет по душе.
К сожалению, в статье только презентация, но я нашел еще и видео выступления. Так что можно ознакомиться полностью.
#flutter #reverse
FortiGuard Labs
Publications | FortiGuard Labs
Flutter is a cross-platform application development platform. With the same codebase, developers write and compile native applications for Android,...