​​Jailbreak на iOS 14

Появился jailbreak для iOS 14! Пока что не для всех моделей, но всё-таки!

Тенденция очень радует, чем старше версия iOS, тем быстрее её ломают. Может это и не так, нужно проверить 😁

Для устройств на процессорах A9(X) jailbreak уже доступен:
- iPhone 6s, 6s Plus, and SE
- iPad 5th generation
- iPad Air 2
- iPad mini 4
- iPad Pro 1st generation
- Apple TV 4 and 4K
- iBridge T2

Интересно, что в iOS 14 Apple добавила новое средство защиты SEPOS на процессорах A10 и выше: если устройство было загружено из режима DFU и Secure Enclave получает запрос на расшифровку пользовательских данных, то сработает защита. Поскольку основной эксплойт checkm8 не может обойти это ограничение, то очень кстати оказалась выявленная недавно уязвимость blackbird, которая позволяет получить контроль над Security Enclave и отключить эту проверку.

Устройства, которые ждут "скрещивания" checkm8 и blackbird:
- iPhone 7 and 7 Plus
- iPad 6th and 7th generation
- iPod touch 7
- iPad Pro 2nd generation

По заверению исследователей, это дело нескольких недель.

Для остальных устройств, на процессорах выше А10(Х), на данный момент не понятно, сработает ли уязвимость blackbird.

Будем следить :)

#iOS #Jailbreak #iOS14 #checkm8

Вебинар - Android Hacking Proving Ground

Уже сегодня (24 сентября) в 20:00 пройдет вебинар по анализу мобильных приложений (обязательна регистрация, а то не придет ссылка) от одного из активных участников OWASP и контрибьютора в MSTG из компании Acronis.

В программе:
- Вступление
- О себе
- Разнообразие мобильной безопасности
- Атака, защита и поиск ошибок в Android-приложениях
- CTF InjuredAndroid
- Демо различных атак
- Карьера в области безопасности мобильных приложений
- Полезные Ресурсы
- Вопросы и ответы

Может будет что-то интересное/полезное 😄

#Android #Webinar #CTF

Что нового в безопасности iOS 14

Новая версия iOS уже с нами и выходит все больше статей про новые функции безопасноcти и анализ нововведений, таких как App Clips.
Одна из первых новостей - статья от Elcomsoft про обновления в части Forensic для новой iOS.

Несколько полезных статей про изменения и новый функционал:
- Анализ новой функциональности App Clips
- Анализ цепочек сообщений в iMessages
- Большая обзорная статья про нововведения в механизмы безопасности

Из интересного:
- Немного изменился формат локального бекапа (для того, чтобы его создать нужна последняя версия iTunes). Так что утилиты для разбора и анализа бекапов могут какое-то время не работать до их обновления под измененный формат. Данные, которые туда попадают, остаются такими же.
- Такая участь постигла и облачные бэкапы
- Минорные изменения в структуре файловой системы
- Появилась возможность разрешать приложениям доступ только к приблизительному местоположению
- В правой верхней части экрана устройства будет отображаться индикатор использования камеры и микрофона

Глобально, по большому счету, мало что изменилось)

#iOS #Update #Security

​​RCE в Instagram на Android и iOS

Очень подробная, длинная и качественная статья про найденную уязвимость в приложении Instagram для обеих платформ.

Дьявол, как обычно, кроется в деталях. Исследователи решили искать уязвимости не в самом приложении, а в используемых open-source библиотеках!

Как это обычно бывает, наиболее интересные баги всегда связаны с обработкой изображений, уже ни раз находили подобные проблемы и в приложениях и в самих операционных системах. В данном случае жертвой стала библиотека Mozjpeg. При помощи прекрасного инструмента для фаззинга American Fuzzy Lop (AFL) нашли ряд проблем, одну из которых почти докрутили до полноценного эксплойта. Но чуть не хватило 😁

В статье подробно расписан процесс анализа и объясняется, как именно исследователи строили и проверяли различные предположения. С выкладками кода, бинарщиной, манипуляциями с памятью, всё как надо)

Почитать на ночь,что надо 😁

#Android #iOS #Instagram #Vulnerability

​​Universal XSS в WebView

Описание одной из найденных уязвимостей, позволяющей выполнить произвольный JS код в рамках WebView и в некоторых особенно запущенных случаях получить доступ к привилегированным API-интерфейсам, предоставляемых приложением.

Сработало интересное поведение WebView, которое при настройке по умолчанию, запрещает иметь несколько окон, WebSettings.setSupportMultipleWindows(). Такая настройка позволяет из iframe обходить политику Same-Origin и выполнять произвольный JavaScript сразу на вашей странице.

Эта уязвимость затрагивает приложения, которые используют WebView с настройками по умолчанию и которые работают в системах с версией Android WebView до 83.0.4103.106.

Как защититься, если не уверены, что работаете на пропатченной версии:
1. Включите поддержку нескольких окон (WebSettings.setSupportMultipleWindows() установить в true). При этом поведение и внешний вид может остаться аналогичным и незаметным для пользователя.

2. Загружаете в WebView только доверенный контент со своих серверов.

Интересная находка, которая затрагивает сразу и приложения, использующие WebView и сами браузеры 😃

Пора автоматизировать и на h1?) 🤔

#Android #Vulnerability #XSS

​​Вторая часть прохождения CTF с защитой от root и frida

Вышла вторая и заключительная статья про прохождение безумно интересного и сложного CTF r2pay.

В этой части автор разбирает функцию JNI для генерации токена, исследует криптографические операции и в итоге вычисляет ключ шифрования.

Некоторые моменты в этой статье заставляют прочитать её более вдумчиво несколько раз и обязательно походить по ссылкам, чтобы понять, что же за магия там происходит.

#CTF #Android #Crypto

Недокументированные команды в Fastboot

Статья про разбор загрузчика Pixel 3.

В статье описано, как работать с образами загрузчиков, какие инструменты можно использовать и что можно интересного найти. Никогда не имел дело с настолько низкоуровневыми вещами, но это правда интересно!

Например, для меня стало открытием, что UEFI используется на телефонах.

Век живи, век читай 😁

#Android #Bootloader #Fastboot

Эксплуатация Deeplink и экспортируемых компонентов в Android

Тут подоспело отличное видео про эксплуатацию deeplink и экспортируемых компонентов в Android приложениях от @B3nac. У него очень качественный контент, интересно смотреть и читать. И это видео не стало исключением.

Основное внимание уделяется тому, как использовать экспортированные компоненты Android и Deeplink с примерами и векторами атак.

Большое спасибо, что к этому видео есть отдельно слайды и все используемые материалы!

Ну и также @B3nac автор интересного CTF, про который я упоминал раньше.

#Android #Video #Deeplink #Exported

Многие из вас уже знают, что Google недавно представил две новые концепции хранения данных в Android в рамках библиотеки DataStore. Библиотека представляет из себя два хранилища: Preferences DataStore и Proto DataStore. Первое это привычные и понятные всем SharedPreferences, но немного поумневшие и типобезопасные. А вот второе уже гораздо интереснее. как следует из названия это хранилище работает со схемами ProtoBuf и обещает нам много интересного. Единственное, чего оно не обещает из коробки это шифрования данных. Это довольно странно в 2020-м году и при условии, что у Google уже есть все нужные компоненты для реализации. Ну нет так нет. Я написал эту интеграцию сам и хочу поделиться ей с вами. Там никакого космоса, просто Tink встроенный в proto-сериализатор данных. Код можно слить с GitHub-а и поиграться с ним.

https://github.com/Fi5t/secured-datastore

#4developers #cryptography

Советы для мобильного BugBounty

Советы для мобильного BugBounty от потрясающего ресерчера @bagipro:

1. Декомпилировать приложение с помощью jadx.
2. Найти все обработчики deeplink из AndroidManifest.xml, они выглядят как <data android:scheme="airbnb" android:host="d"/>
3. Grep'нуть шаблон из обработчика, в данном случае airbnb://d
4. Можно найти множество захардкоженных URL-адресов, например airbnb://d/openurl?url=https:// http://airbnb.com/blabla. Это намного проще, чем изучать исходники
5. Теперь попробуйте использовать свои собственные домены через adb (adb shell am start -a android.intent.action.VIEW airbnb://d/openurl?url=http:// http://evil.com) или вставить ссылку в HTML-страницу (см. отчет H1 ниже)
6. Можно повторить тоже самое для iOS приложений. Обычно функциональность аналогична, но сама реализация может отличаться.

Отчет на H1, который эксплуатирует эту багу.

Спасибо огромное @bagipro, что он делится своим опытом, это очень полезно!

#BugBounty #H1 #Android #iOS

But most of all, Samy is my hero!

Новость не про мобильные приложения, но пропустить такое нельзя!

Сегодня 15 лет с момента, наверное, первого (ну или по крайней мере такого масштабного) XSS-червя в социальной сети MySpace.

4 октября 2005 года Samy Kamkar разместил на своей странице пост, содержащий JS-код. Этот код выполнял несколько простых функций:
- копировал себя на страницу к тому, кто зашёл к Samy в профиль (а дальше по цепочке и всем остальным, кто этот пост видел)
- отправлял заявку в друзья
- ставил в статус "but most of all, samy is my hero"

Ничего страшного, но всего за 20 часов этот червь "заразил" более миллиона пользователей! Для того, чтобы убрать последствия и остановить распространение пришлось на несколько часов полностью отключить MySpace 😁

По итогу - Samy получил запрет на доступ в интернет, разрешение пользоваться только одним компьютером и три года условного срока.

Но эта история навсегда вошла в мир информационной безопасности.

Хорошая статья на русском на эту тему есть в журнале Хакер:
https://xakep.ru/2015/10/06/samy-worm/

#SamyIsMyHero

Как отследить устройство используя камеру и спрашивая разрешения

На самом деле, достаточно старая бага и доклад, но от этого не менее изящная. Видео с конференции RSA, слайды с blackhat.

Вся соль заключается в том, что можно было вызвать экспортируемую Activity у приложения камеры, сделать фото или видео, поставить геометку и всё это без каких либо пермишенов со стороны приложения! Ни доступа к камере, ни к галерее, в общем ничего подозрительного.

При этом, чтобы дополнительно скрыть своё присутствие и не вызвать подозрения пользователя, что у него камера всегда включается сама, ребята сделали определение, что телефон заблокирован и только тогда записывали видео.

Чтобы убрать звуки камеры нашли способ обойти ограничение системы и программно, опять таки без permission, убирать звук телефона в ноль.

А благодаря геометкам на фото можно получить отличный девайс трекер 😁

Советую посмотреть выступление, хотябы часть с livedemo, выглядит очень здорово.

Пойду и на телефоне камеру заклею, что-ли...

#Android #Spyware #Vulnerability

Выполнение произвольного кода в приложении Facebook

Прекрасная бага, позволяющая выполнить произвольный код в контексте приложения Facebook.

Принцип эксплуатации построен на классическом Path Traversal, который стал возможен благодаря использованию самописной функции для загрузки файлов без какой либо фильтрации. То есть, если имя файла "../file", то он будет записан на директорию выше от предполагаемого места сохранения. Ну а дальше можно перезаписать любой нативный файл в песочнице и получить ACE.

Интересно, что в другом месте используется безопасная реализация через DownloadManager. Наверное, функционал писали разные команды 😁

Так что правила санитизации любого контента пришедшего из-вне в мобильных приложениях актуальны как никогда!

Перефразируя известное высказывание пишите код так, как будто кругом враги,не доверяйте никому и проверяйте все данные, что приходят к вам в приложение 😁

#Android #Facebook #ACE

​​Ищем закладки в приложениях

Постепенно просматриваю доклады из категории Mobile с Blackhat Asia 2020 и выкладываю то, что приглянулось.

Одним из таких докладов стал рассказ про поиск закладок в приложениях под Windows и iOS.
Слайды презентации тут.

Тема действительно достаточно важная, так как кто знает, что там внутри приложений, которыми мы пользуемся каждый день? 🤔

Доклад, на мой взгляд,мог бы быть более интересным, если бы рассказали про методики поиска или способ какой-то автоматизации.

А сейчас это рассказ про несколько разобранных приложений. Но всё равно, полистать, посмотреть интересно 🤓

Мне это напомнило, как один мой друг, пользуясь приложением для учёта финансов от скуки его поковырял и обнаружил, что из Android приложения идёт прямой коннект в базу данных (кому нужно этот API серверный писать). Конечно, все адреса, пароли и явки были зашиты в исходниках. Таким образом, он случайно оказался владельцем финансовых данных пользователей ну и конечно, поставил правильное значение в базе, чтоб больше за это приложение не платить (да, оно было удобным и платным).

Так что бекдоры-бекдорами, но куда большую опасность несут в себе захардкоженные пароли и корявая архитектура...

#iOS #Backdoor #Blackhat

​​Взлом Apple за три месяца

Отличнейшая статья про то как группа исследователей в течение трёх месяцев работала над поиском уязвимостей в сервисах и инфраструктуре Apple. В общем итоге, они выявили 55 уязвимостей (11 из них критического, 29 высокого, 13 среднего и 2 низкого уровней критичности). Выявленные уязвимости позволяли скомпрометировать приложения как клиентов, так и сотрудников, запустить XSS-червя, способного угнать учетную запись iCloud жертвы, получить исходный код из внутренних репозиториев. 

В статье статье подробно расписаны некоторые наиболее критичные и уязвимости. И что самое главное, её очень легко читать и она может подтолкнуть на поиск новых векторов атак 😁

Тем более, они заработали на этом около 50 тысяч $ 🤑

Хоть и немного не про мобильные приложения, но очень рекомендую к прочтению!

#iOS #Apple #Vulnerabilities

*Митап по безопасности мобильных приложений*

Всем привет! Если вы давно хотели что-то рассказать про своё исследование, поделиться опытом анализа или защиты приложений, добро пожаловать на митап!

Можно написать мне в личку или заполнить по ссылке ниже :)

Ну а всех, кто заинтересован, но не хочет делится своими секретами, добро пожаловать на митап в качестве слушателей и не стесняйтесь задавать вопросы :)

Вот и настал тот день, чтобы сказать "И вот этот день настал!". Пока нас потихоньку накрывает второй волной сами знаете чего (🦠) и мы опять переходим на удаленную работу, есть идея провести это время с пользой. Хочу провести online митап по безопасности android-приложений, операционной системы и смежным темам. Конечно же без вашего участия ничего не получиться, поэтому с сегодняшнего дня открываю CFP. Если у вас есть интересный релевантный опыт, то буду рад включить вас в программу митапа.

Если вы новичок в вопросах выступлений на коференциях, то я и программный коммитет поможем вам определитья с темой и направлением доклада, а также подготовиться к самому докладу.

Для тех, кто не любит Google формы - пишите мне в личку. Ваша нелюбовь к Google еще не повод не выступать на митапе 😉

https://forms.gle/nNVZBemesFsFmwvSA

Подборка интересный багов в Android приложениях

Очень интересная подборка дисклозов с HackerOne и статей, описывающих уязвимости в мобильных приложениях.

Полезная информация, с одной стороны, посмотреть, что искать в приложениях и как их ломать. А с другой стороны, проверить собственные приложения, что таких ошибок в них нет.

Спасибо людям, что делятся своим опытом в статьях или просят открыть репорты, чтобы мы могли на них посмотреть и чему-то научиться 😄

Ну и отдельно приятно, что большинство репортов с h1 от нашего соотечественника @bagipro 👍

#Android #Vulnerabilities #h1

Подслушиваем за пользователями JioChat

Интересная особенность в реализации протокола SDP позволяла получить аудио поток с телефона жертвы до того, как он примет вызов.

Интересно, можно ли после этого было отменить вызов и продолжать слушать, но этого в описании не сказано или я не нашёл 😁

А у приложения более 50 миллионов загрузок! И вообще странно, что серверная часть позволяла клиентам манипулировать параметрами протокола и изменять логику работы. Так что, как бы банально не звучало, но все проверки на клиентской стороне должны быть продублированы на сервере (книга MSTG, категория ARCH, требование 2, MSTG-ARCH-2)😁

#Android #Vulnerabilities #SDP

Читаем книги в действительно удобном приложении

Здорово, когда умение анализировать приложения помогает тебе в повседневной жизни и делает твою жизнь чуть удобнее.

Так и в случае с автором статьи про анализ приложений для чтения книг.

Основной посыл простой - автор любит читать и часто покупает электронные книги в разных приложениях, но не все позволяют скачивать и читать в стандартном приложении iBooks в iOS. Вот, он реальный способ сделать свою жизнь немного удобнее и заодно поисследовать приложения.

И есть ещё продолжение истории на эту же тематику, но уже с разбором Amazon Kindle.

Автор хорошо раскладывает базовые понятия, как устроены приложения, где они хранят файлы, на что обращать внимание для достижения своей цели.

#iOS #Research #Vulnerabilities