Обновление нашего продукта Стигнрей!

Ох, мы наконец-то это сделали и выпустили долгожданный и многострадальный релиз 🥳

На этот раз он получился не менее насыщенный, чем прошлые наши обновления и привнес в себя очень много интересных и полезных вещей.

Если кратко, то мы снова почти полностью переписали одну из частей нашего продукта и наш UI теперь работает безумно быстро, он стал более продуманным и красивым (а еще там появилась темная тема)! 😎

Еще мы научились запускать Appium-скрипты для автоматизации тестирования и это дает намного большую гибкость по работе с приложением во время автоматизированного анализа и возможность переиспользовать наработки QA в тестировании. И наконец, у нас появились полноценные автотесты для iOS-приложений, с записью видео с экрана устройства и полным повторением действий пользователя во время сканирования!

Что касается нашего любимого IAST-анализа, то в Android мы существенно его доработали, улучшили и сделали задел на будущие активные проверки. Результатом этого стало выявление еще большего количества интересных и сложных уязвимостей. А также, мы портировали этот механизм на iOS и планируем в дальнейшем его максимально развивать.

На самом деле, изменений больших и маленьких огромное количество, всего не перечислишь, и за это я хотел сказать огромное спасибо всей команде, которая вкладывается в каждую новую фичу, в каждую строчку кода всей душой! Спасибо парни, вы лучшие! 🥇

Ну и если кому интересно чуть более детально посмотреть, что мы сделали, то небольшое видео с обновлениями доступно на YouTube, а более-менее полный список обновлений на сайте.

Ура!

#stingray #ios #android #release

Включение Frida в сборки iOS в TestFlight

Что делать, если jailbreak-устройства нет под рукой или они запрещены доя использования в компании (ну мало ли), а проверять приложения при помощи Frida очень хочется.

Тут можно пойти несколькими путями, первый это тестирование на М1, на котором можно запустить любые iOS-приложения и цепляться к ним при помощи Frida.

Второй подход описан в статье и весьма интересен, это включение Frida gadget в сборку вашего приложения. Автор описывает, как сделать так, чтобы сборка с либой Frida прошла через проверку AppStore Connect и появилась в TestFlight!

Весьма необычный кейс, на мой взгляд. Главное - из релизной сборки не забыть исключить)))

#ios #frida #testflight

Гайды для начинающих или Android/iOS Cheat sheets

Всем привет!

С наступающими праздниками! И конечно, чем же ще зняться в праздники, кроме как изучением чего-то нового. И как правило, в этом могу помочь гайды/сборники с общей информацией, доступные в едином месте. Такими и являются различные cheatsheet-ы и прочие awesome-репозитории.

Сегодня мне приглянулись два из них. достаточно неплохие для того, кто только начинает знакомиться с миром мобильной безопасности. Два репозитория от одного автора, что интересно, они поддерживаются и обновляются (4 часа назад последнее изменение). Создан он был, как подарок мне на день рождения (23 апреля) и достаточно "свеж", так что более-менее актуален и, надеюсь, автор это дело не забросит.

Ссылки на репозитории:
- Android
- iOS

Для тех, кто давно уже занимается безопасностью, все равно рекомендую просматривать такие репозитории, всегда можно найти что-то новое или какую-то идею/статью для дальнейшего анализа.

Всем хороших праздников!

#Android #iOS #cheatrSheet #github

Про хранение секретов в приложении и на устройстве

В процессе выступления на Mobius, один из слушателей скинул классную статью про хранение секретов в приложении на iOS, как их достать, что из них можно получить и рекомендацию, как можно попробовать сделать это менее палевно.

Кстати, в качестве примера используется приложение Swordfish.app, но это совпадение, правда-правда!! 😁😁😁

#secrets #ios

Продвинутое использование Frida. Часть 1

А вот и продвинутое использование Frida вслед за гайдом для начинающих.

Статья примечательна тем, что рассматривает решение практического сценария в одном из приложений с использованием Frida, попутно объясняя, зачем делается то или иное действие и к чему они приводят. Это уже весьма неплохой гайд с точи зрения понимания возможностей Frida и, может быть, примеров различных взаимодействий с нативными функциями.

Статья не очень большая и решает одну конкретную задачу в конкретном приложении, но может быть интересна тем, кто более плотно изучает frida для анализа iOS-приложений.

Вообще достаточно интересный блог у этой компании, подписался на него, буду периодически давать ссылки на них, если будет что-то интересное. Особо примечателен он тем, что много информации об iOS, что не часто встретишь, обычно любят рассматривать на примере более простого в понимании Android. И, что самое главное - он свежий, публикации за прошлый месяц этого года, что тоже немаловажно, так как все очень быстро развивается в мире мобильных приложений.

В любом случае, приятного и полезного чтения!

#iOS #frida #tutorial

Кэширование сетевых запросов в Cache.db

В продолжении темы статей Артема статья, которая описывает интересный файл Cache.db в iOS-приложениях, в который по умолчанию попадает кэш всех сетевых запросов, отправленных через NSURLSession.

И да, действительно, мы тоже очень часто встречаем подобное поведение и весьма много информации находим внутри таких вот кэширующих баз данных.

Но, в отличие от статьи, мы предлагаем достаточно подробные рекомендации, что именно необходимо сделать, чтобы предотвратить кэширование запросов.

#iOS #storage #vulns

Большая подборка книг, курсов и статей по безопасности мобильных приложений

На день знаний не успел выложить, но хоть на 3-е сентября будет 😄

Собрал воедино все книги, которые у меня были и что мне присылали, гайды и курсы по анализу и безопасности мобильных приложений!

Что получилось в итоге:

Android Books
Android Application Pentest Guide (AAPG)
Android Forensics
Android binder
Android Task Hijacking
Android Hacker's Handbook
Android Malware and Analysis
Android Apps Security
Android Security Attacks and Defenses
Android Security Internals
Application Security for the Android Platform
Android Application Secure Design/Secure Coding Guidebook
Decompiling Android
Deep Dive into Android Binder IPC
DEF CON 24 Workshop Dinesh Shetty Practical Android Application
Embedded Android
Kotlin secure coding practices
Learning Android Forensics
Hacking Android
XDAs Android Hackers Toolkit
Xaker-254
Яндекс - как общаются Android приложения
Broken Fingers - On the Usage of the Fingerprint API in Android
What can you do to an apk without its private key except repacking
WhatsApp Forensics: Decryption of Encrypted WhatsApp Databases
Huawei Mate 9 Pro (LON AL00) PWN2OWN
Android Internals - A Confectioner's Cookbook (Volume I)

Android Courses
Android Part - Mobile Application Security and Penetration Testing v2
AndroidHackingCourse
Penetration Testing Apps for Android Devices

iOS Books
Apple Security Sandbox
iOS App Reverse Engineering
IOS FORENSICS COOKBOOK
IOS Hackers Handbook
Mac OS X and iOS Internals (1-е издание)
Mobile App Hackers Handbook
Hacking and Securing IOS Applications
Recreating an iOS 0day Jailbreak Out of Apple’s Security Updates
Revisiting iOS Kernel (In)Security: Attacking the early random() PRNG
Demystifying The Secure Enclave Processor

iOS Courses
iOS Part - Mobile Application Security and Penetration Testing v2

Книги включающие в себя и Android и iOS либо нечто общее про безопасность мобилок
MASTERING MOBILE FORENSICS
Mobile App Hackers Handbook
MOBILE FORENSICS ADVANCED INVESTIGATIVE STRATEGIES
DSEC - Анализ безопасности мобильных банковских приложений
DSEC - Анализ безопасности мобильных банковских приложений 2012
DSEC - SCADA и мобильники - оценка безопасности приложений, превращающих смартфон в пульт управления заводом
Secure mobile development best practices
OWASP Mobile App Security Checklist
OWASP Mobile AppSec Verification Standard RU
OWASP mobile security testing guide
Брюс Шнайдер - прикладная криптография :D

Смешанные курсы
Mobile Application Security and Penetration Testing v1

Все материалы доступны по ссылке. Можно как скачать отдельные материалы, так и все сразу.
По мере нахождения новых интересных материалов - буду обновлять и дополнять "библиотеку" 🤓

#Books #Education #Android #iOS

iOS Forensic by Elcomsoft

Вот очень люблю этих ребят, их блог это просто находка :)

И даже в статье про работу с их инструментом по извлечению данных с iOS (насколько я понимаю, платного), они дают и теорию и много отсылок к другим опенсорс инструментам и статьям. Так что читая этот материал можно почерпнуть много нового и полезного из ссылок по тексту.

Настоятельно рекомендую посмотреть :)

#ios #elcomsoft #forensic

Продвинутое использование Frida в 4-х томах

Пока я отдыхал от активности, в блоге 8ksec.io вышло продолжение весьма интересных статей про использование Frida в iOS.

Часть 1. IOS Encryption Libraries
Часть 2. Analyzing Signal And Telegram Messages
Часть 3. Inspecting XPC Calls
Часть 4. Sniffing Location Data From Locationd

В статьях присутствует и часть для анализа приложений и для системных сервисов. При этом достаточно подробно описано, какие механизмы frida используются, как их применять и для чего они нужны. Ну и конечно, немного приоткрыть для себя завесу тайны над внутренними системными операциями (как минимум для геопозиции в locationd и для анализа XPC) тоже очень полезно.

В общем всем, кто работает с iOS и/или с Frida рекомендую почитать, посмотреть!

#frida #ios #system

Еще один комбайн для анализа приложений - MMSF

Нашел еще один комбайн по анализу мобильных приложений, под названием MMSF (Massive Mobile Security Framework). Да, с фантазией относительно названия тут явно не задалось.

Что он из себя представляет? По факту это интерактивный шелл, по своему принципу очень напоминающий Drozer (очень похожий выбор модулей, навигация, конфигурация и т.д.). Внутри это набор различных питоновских модулей, которые взаимодействуют с устройством и приложением внутри него.

Внутри опять-таки спрятана фрида и набор вполне базовых скриптов (обход рута/эмулятора, SSL Unpinning) и другие похожие вещи. Из интересного я бы отметил скрипт по патчу приложений для использования через objection на нерутованных/незаджейленных устройствах. Это по факту некоторая автоматизация из официальной документации по включению в пакет приложения специальной библиотеки.

Также интерес может предоставлять опция scan, но что происходит внутри и насколько там корректно реализованы проверки я пока еще не смотрел, но в самое ближайшее время собираюсь.

По первому впечатлению - это тот же дрозер, только более навороченный, возможно будет удобнее для каких-то ручных проверок, если у вас нет автоматизации для проверки, например, контент-провайдеров.

Ну и так как репозиторий относительно молодой (от июня 2023 года), он все еще развивается (4 дня назад последний коммит). Будем наблюдать, посмотрим, что у автора в итоге получится.

#android #ios #tool #combain #mmsf