​​В чате (который доступен по кнопке "Обсудить"), очень верно отметили, что уже вышла вторая статья по Snapchat!

И да, автор не обманул, он действительно описывает, как ему удалось обойти те или иные проверки и получить-таки заветное значение токена. Правда, до конца он так и не рассказал, как взаимодействовать с их API, оставил так сказать поресерчить самим 😃

Но все равно классная статья! 🤓

#Snapchat #Reverse #iOS #Research

​​Немного не про мобильные приложения, но где-то около, на тему IoT и популярных GPS-трекеров.

Честно говоря, я зачитался этими двумя статьями(первая и продолжение), которые опубликовали специалисты из компании Avast. Они провели полноценное исследование, как именно взаимодействуют популярные небольшие GPS-трекеры, их протоколы взаимодействия (GSM, SMS, HTTP, Web) и в каждом из них нашли шикарные уязвимости, которые позволяют полностью скомпрометировать устройство и следить за людьми (а в некоторых случаях и управлять машиной, если такой трекер интегрировать в машину). 😱

Что еще интересно - это механизм WhiteLabel, когда одно и то же устройство выпускается под десятками разных имён и различаются только картинками и интерфейсом (спойлер: практически все исследуемые трекеры используют один и тот же уязвимый API). То есть, одна уязвимость в любом из компонентов автоматически тиражируется на всё! 😏

В общем, потрясающие статьи для прочтения за чашкой утреннего кофе)

#IoT #GPS #Research

​​Процессинг изображений, их сжатие, обработка и операции с ними всегда вызывают какую-то странную боль, особенно у программистов 😄

Исключением не стал и Android, достаточное количество уязвимостей и проблем связаны именно с обработкой media (изображений, гифок, видео и т.д.). Очень показательная бага, если вы пропустили - выполнение произвольного кода при обработке изображения.

Но сейчас не о ней, а о цикле статей, касающихся уязвимостей в библиотеке Samsung, отвечающей за процессинг изображений.

Очень подробно и интересно описано. Плюс ко всему автор продолжает описывать свои приключения и выпускает продолжение))

#Android #ImageProcessing #Vulnerability #Research

Люблю читать про анализ различных популярных приложений. В таких статьях можно почерпнуть много интересной информации, начиная с того, как анализировать приложения, заканчивая тем, что можно улучшить в защите своих разработок и рекомендаций. А может, мне просто нравится считать, что не я один такой и допускаю ошибки 😄

В этот раз статья про TikTok, в целом ничего криминального в ней нет (пока что), но автор обещает продолжение, да и читается легко. С его стилем повествования, было бы приятно почитать, что будет дальше. Кстати, если заглянуть в его статьи, можно найти еще много интересного материала. 🤓

#Android #Research #TikTok #Apps

​​Firebase Cloud Messaging - как отправить push миллиарду пользователей

Во время анализа приложений мы постоянно находим различные токены от сервисов аналитики, а иногда и от нескольких, разных сервисов геолокации, карт и многих других, не сильно критичных (вроде) 😄

После этой статьи я стану намного пристальнее на них смотреть и на те возможности, что они дают. И обязательно добавлю такую проверку в анализ.

Если кратко - багхантер практически с помощью одного grep, детального изучения документации и функционала сервисов FCM получил возможность отправить любое push-сообщение от имени уязвимого приложения. А в их числе оказались и гугловские сервисы (Google music, Youtube Music и т.д.),то есть миллиарды пользователей 😱

В статье подробно описан процесс анализа, изучения сервиса FCM, есть алгоритм, как искать и проверять валидность таких ключей (что с их помощью действительно можно отправить push), как сделать PoC и как митигировать подобные риски.

И спасибо автору за ссылки на материалы, статьи и утилиты, которые он использовал при анализе. Помимо нескольких интересных вещей по мобильным приложениям, есть и на что посмотреть в части прикладных инструментов.

Советую прямо сегодня посмотреть ваши мобильные приложения на наличия ключей FCM и проверить, валидны ли они для отправки произвольных пушей.

Потрясная статья, конечно 😁

#Android #BugBounty #Research #FCM

​​Уязвимости в "Find My Mobile": удаленный сброс и блокировка телефонов Samsung

Интересные новости для владельцев Samsung. Если вы ещё не обновили приложение "Find My Mobile", самое время это сделать (наверное).

Группа исследователей опубликовала очень интересный ресерч, посвященный ряду уязвимостей в приложении Find My Mobile. Целью этого приложения является удаленное управление устройством, если вы его потеряли (блокировка с произвольным сообщением, определение местоположения телефона, удаление всех данных и т.д.).

Благодаря ряду найденных уязвимостей (надо сказать что они достаточно "детские") злоумышленник мог получить доступ ко всем функциям этого сервиса. Как это обычно бывает, по одиночке уязвимости не представляют большой опасности (кроме раскрытия данных), но все вместе выстроились в замечательную эксплуатируемую атаку 😁

Ссылка на техническое описание всех найденных уязвимостей, их эксплуатация и подробности можно найти здесь.

Несмотря на то, что открыть детали решились только через год, проверьте на всякий случай, что на телефоне стоит последняя версия 😏

Конечно, если вы не против рассылать свой MAC-адрес Bluetooth-адаптера броадкостом в эфир. Да, именно так, в последней версии приложения появилась отличная опция по определению местоположения вашего устройства, даже если у него нет доступа к сети. Процесс простой - приложение с определенной периодичностью отправляет широковещательный запрос в Bluetooth эфир... И если рядом есть другой Samsung, он сможет помочь найти ваш телефон.

Интересно, можно ли что-то сделать, зная эту инфу? Ну кроме того, чтобы постоянно трекать перемещение пользователя? 🤔

В общем, спасибо Samsung, уязвимости исправили, но что-то сомнительное добавили :) Выбираем из двух зол наименьшее..

#Samsung #Android #Vulnerabilities #Research #Bluetooth

​​Уязвимости в нескольких популярных приложениях

Сейчас почему-то очень активно обсуждается статья про уязвимости в мобильном приложении для генерации кодов 2FA.

Название громкое, в тексте упоминаются фразы 0-day, public disclosure и прочие страшные вещи. Но смотря на список найденных уязвимостей, остаётся ощущение, что ничего не нашли, но написать что-то нужно.. Такие "баги" у нас обычно попадают в категорию "для информации" (ну может авто-копирование в буфер можно выделить).

А вот другая статья про XSS в клиенте Outlook намного интереснее! Про то, как простая на первый взгляд функция для преобразования телефонного номера в ссылку позволяла выполнить любой JS код! 😁

#Vulnerabilities #Research

​​Несколько критических уязвимостей в TikTok

Компанию TikTok никак не оставят в покое 😁 Но на этот раз это уже не исследования, что же они собирают о пользователе и какие данные передают, а полноценное исследование приложения, в котором нашлись действительно серьезные уязвимости.

Тут тебе и чтение файлов из внутренней директории и выполнение произвольного кода в контексте приложения!

Отличное описание, с примерами и кодом для PoC. 🤓

#TikTok #Vulnerabilities #Research

​​Критические уязвимости в MobileIron MDM

MDM - Mobile Device Management, управление корпоративными устройствами, очень популярная вещь в больших компаниях. Но что произойдёт, если внутри самой этой системы присутствуют уязвимости, позволяющие выполнить любой код?

Это значит, что можно получить доступ к системе, а также данные об огромном количестве сотрудников. Ну и что-то им установить :)

В статье приведено описание уязвимости, как она была найдена и проэксплуатирована и есть ссылка на доклад. Один из интересных моментов, что автор после выхода фикса подождал некоторое время, выяснил, что Facebook не накатил патчи, залил к ним шелл и написал в багбаунти программу 😁 дабл профит))

#mdm #facebook #bugbounty #research

​​Эксперименты с WebView

Практически всегда, когда говорят об уязвимостях в WebView - имеют ввиду возможности по выполнению JS кода, если это не отключено, чтение файлов, если опять-таки не отключена такая возможность и другие похожие проблемы.

Но вот другой интересный момент на который стоит обратить внимание, что если защищать нужно не ваше приложение, которое использует WebView, а вашу страницу, которое другое приложение отображает и данные клиентов, которую вводят на ней информацию? Простой пример - в стороннем приложении "партнера" нужно осуществить логин в ваш сервис и для этого используется Web страница. Что может сделать приложение с данными, которые отправляются через WebView и какие способы от этого защититься есть?

Подробная статья про разные методы защиты (CSP, Iframe Sandbox, X-XSS-Protection), в чем их смысл, как их можно обойти и что делать-то в итоге? Плюс этой статьи, что к каждому примеру есть работающие приложения, чтобы попробовать самому пройти все эти шаги и код, который можно изучить.

И в догонку пост от Mail.ru двухгодичной давности, но актуальный до сих пор, про безопасность мобильного OAuth2.0. Всем, кто использует или предоставляет такую возможность очень рекомендую к изучению, ребята очень дотошно и качественно подошли к материалу. Комментарии к этой статье тоже несут много полезной информации, что необычно 😁

#WebView #OAuth #Research

Читаем книги в действительно удобном приложении

Здорово, когда умение анализировать приложения помогает тебе в повседневной жизни и делает твою жизнь чуть удобнее.

Так и в случае с автором статьи про анализ приложений для чтения книг.

Основной посыл простой - автор любит читать и часто покупает электронные книги в разных приложениях, но не все позволяют скачивать и читать в стандартном приложении iBooks в iOS. Вот, он реальный способ сделать свою жизнь немного удобнее и заодно поисследовать приложения.

И есть ещё продолжение истории на эту же тематику, но уже с разбором Amazon Kindle.

Автор хорошо раскладывает базовые понятия, как устроены приложения, где они хранят файлы, на что обращать внимание для достижения своей цели.

#iOS #Research #Vulnerabilities