​​Нашёл занятную утилиту, которая позволяет быстро и достаточно просто получать данные об используемом шифровании (алгоритм, его параметры, ключ и т.д.).

Работает через патчинг приложения и только, если используется стандартный SecurityProvider .

В ряде случаев может помочь быстро получить необходимые данные и поискать где-то ключик 🔑

#Android #Tools #Crypto

Альтернативный способ расшифровки IPA-файлов

Классический способ снятия FairPlay шифрования c ipa-файлов - дамп из памяти загруженных конструкций и загрузка получившегося файла к себе. Это умеет делать frida-ios-dump или dumpdecrypted, но как правило они требуют jailbreak (есть возможность использовать фриду и без джейла, но это другая история).

Однако существует инструмент yacd, который работает на iOS 13.4.1 и ниже и позволяет получить расшифрованный файл и передать его посредством Airdrop на другое устройство. Для достижения этой цели он использует эксплойт для доступа к памяти процесса, который работает как раз на этих версиях iOS.

Думаю достаточно удобно иметь под рукой такой инструмент, чтобы быстро и без особых проблем выгрузить нужное приложение 😄

#iOS #Tools #FairPlay #Decrypt

Более-менее универсальный способ SSL Unpinning в iOS

Интересная утилита Meduza на основе Frida для SSL Unpinning приложений на платформе iOS.

Её подход немного отличается от стандартных способов. Сначала необходимо запустить утилиту в режиме мониторинга и потыкать в приложении. Запущенный скрипт соберет все домены и их сертификаты, к которым обращалось приложение за время работы. После того, как закончите работу с приложением, медуза сформирует скрипт, который будет спуфить сертификаты и производить Unpinning.

Такой подход будет работать только для приложений, использующих стандартную имплементацию SSL в системе.

Как досконально это работает, я пока не успел изучить, но в ближайшем времени планирую посмотреть. Скорее всего, мы делаем классический MiTM, перехватываем трафик, но в приложение возвращается тот же самый отпечаток сертификата, что и был изначально.

Но больше всего мне нравится честный и правдивый комментарий автора:

MEDUZA doesn't work, what to do?

Try to fix it yourself or create an issue. However, I take a look at this GitHub account from time to time ( ==once a year) and support MEDUZA in my spare time ( ==never), so I can't guarantee any support. Welcome to the opensource world ;(

Удивительно честный мир опенсурса 😁

#iOS #sslunpinning #Tools

Сканер уязвимостей в Android приложениях GJoy Dex Analysizer

Нашёл достаточно необычный сканер, который включает в себя собственный декомпилятор, умение выявлять вредоносное поведение, утечку чувствительных данных, выявление уязвимостей и ещё очень-очень много всего, судя по описанию.

Написан на С++, не использует Java и не требует установки. Имеет собственный язык описания правил и развивается с 2015 года.

Приложение только под винду 😭
К сожалению, руки пока не дошли его посмотреть, выглядит интересно, но насколько хорошо работает, пока непонятно 😁

#Android #Tools

Распаковщик зашифрованных приложений

Несколько раз встречал вопросы про DexGuard, DexProtector и проблемы с анализом приложений, которые зашифрованы ими.

Сам я не сталкивался с анализом таких приложений, только читал про то, как ковыряют защиту и пытаются вытащить исходники.

На Github есть проект, который может с этим помочь. Основан на базе Frida и дампе расшифрованного dex-файла из памяти. Аналогичный механизм используется в frida-dump на iOS, чтобы получить расшифрованный ipa.

Работает скрипт на Android 4-11 и поддерживает "распаковку" Jiagu, DexProtector, DexGuard и Yidun. 🔥

#Android #DexProtector #DexGuard #Unpack #tools

Исследование Heapdump Android приложений

Интересную статью про анализ дампа памяти посоветовал @testing_guy в нашем чате.

Автор описывает, как правильно снимать дамп, анализировать его и что в нем может быть интересного. Как пример использования - поиск расшифрованных данных, чтобы не утруждать себя анализом криптографии, используемой в приложении, а получить из памяти сразу нужные значения. Статья интересна, как обучающий материал, для понимая, как устроен дамп памяти и что в нем может быть интересного.

Как по мне, такого рода "уязвимости", то есть хранение открытых данных в памяти, в реальной жизни трудно реализуемы. Если только не найдется какая-то новая уязвимость типо Heartbleed для мобилок при помощи которой можно будет читать произвольные участки памяти.

Анализ дампа интересен, чтобы посмотреть, что в нем хранится, и поискать эти значения в других места (файлы, базы данных и т.д.). Или если приложение использует одинаковый ключ шифрования для всех установок. Тогда его можно попробовать вычислить или получить из памяти и использовать его для расшифровки данных с другого устройства.

#Android #Heapdump #Tools

Онлайн анализатор Android приложений

Недавно появилось упоминание бета версии анализатора для выявления уязвимостей в мобильных приложениях под названием Pithus.

По словам автора это совсем бета, работает на небольших ресурсах и ограничивает выдачу 50-ю результатами.

Анализ Pithus основан на нескольких хорошо известных инструментах:
- APKiD
- ssdeep
- Dexofuzzy
- Quark-Engine
- AndroGuard
- MobSF
- Exodus-core
- MalwareBazaar

Честно говоря, сам ещё не успел попробовать, но ожидаю, что без корреляции уязвимостей от разных инструментов это будет просто агрегированный отчёт из кучи инструментов. Хотя это тоже не так уж и плохо.

Исходный код проекта на github тут.

#Android #Tools

Отличный cheatsheet по инструментам и советам по тестированию iOS приложений

Спасибо большое @grokaem_realnost за отличный репозиторий с набором инструментов, списком репозиториев для cydia, советами и ссылками на другие подборки для анализа iOS приложений. Некоторые вещи давно известны, о некоторых я даже не догадывался.

Очень годный контент, однозначно в закладках оставлю :)

#iOS #tools

Скрипт для автоматической установки утилит для анализа мобильных приложений (Android и iOS)

Достаточно интересный проект для автоматической установки множества полезных тулов на Ubuntu Server (в виртуалке или на живом компе). Я думаю, что и для Ubuntu Desktop тоже вполне себе пойдет. Либо её можно использовать, как отличный гайд по всем представленным в списке инструментам, если у вас возникла сложность с их установкой.

Специально для ленивых, кто не хочет заморачиваться сам и получить готовый список тулов или для параноиков, которые могут подергать команды для автоинстала и получить свой собственный скрипт. Ну или в крайнем случае просто убедиться, что все тулы, которые нужны стоят и обновлены.

Список инструментов, которые автоматом ставятся:
- APKTOOL (Android)
- ADB (Android)
- JADX (Android)
- ByteCode-Viewer (Android)
- Drozer (Android)
- Hopper (Android and i0S)
- Burp/ZAP (Traffic Inspection)
- Frida and Frida-Tools (Android and i0S)
- Frida Android Tracer (Android)
- Android Backup Extractor (Android)
- PIDCAT (Android)
- MobSF (Android and i0S)
- AndroBugs Framework (Android)
- QARK Framework (Android)
- RMS, Dexcalibur and Passionfruit (Android and i0S)
- Radare2 and R2Frida (Android and i0S)
- MARA Framework (Android)
- APKiD (Android)
- Simplify (Android)
- iProxy and iDeviceInstaller (i0S)
- Frida-IOS-Dump (i0S)
- GrapeFruit (i0S)
- Objection (Android and i0S)
- Tools on iDevice (i0S)
- GuiScrcpy (Android and i0S)

#tools #Android #ios

​​Security проверки для релизных сборок

@dtereshin написал очень удобную и крутую штуку для проверки релизных сборок перед выкладкой в магазины приложений. И назвал её CheckKarlMarx (все совпадения случайны). Доступна как в виде исходного кода, так и докер-образа.

Что умеет сейчас и как работает:
- принимает на вход apk или ipa файл релизной сборки
- проверет некорректные настройки сети
- небезопасные (http), тестовые или внутренние URL (список задается при запуске)
- хранение различных ключей
- экспортируемые компоненты для Android-приложений
- небезопасные настройки Webview для Android приложений

На выходе получаем отчет с находками, его можно положить в ваш CI/CD инструмент рядом с другими линтерами и статус сканирования (exit code), на основе которого можно строить дальнейшие действия).

Просто, удобно и позволяет быстро определить, что в релиз приехало что-то не то)

Кстати, в том числе про этот инструмент будет доклад от автора на ZeroNights. Я точно приду послушать, все предыдущие выступления были отличными, думаю это тоже порадует.

Ну и отдельный лайк от меня за ник на GitHub 😂

#tools #android #ios

Реверс приложений на Flutter

Несколько раз за последнее время в различных чатах всплывал вопрос про анализ приложений на Flutter, как к ним подступиться, как анализировать?

И там же всплыла очень интересная ссылка на инструмент по реверсу Flutter-приложений под названием reFlutter.

Из описания:
Этот фреймворк помогает при реверсе Flutter приложений благодаря пропатченной версии библиотеки Flutter, которая скомпилирована и готова к переупаковке приложения. В этой библиотеке изменен процесс десериализации, для более удобного динамического анализа.

Поддерживает iOS и Android и умеет перехватыватывать трафик приложения и перенаправлять его на прокси без необходимости ставить сертификаты и рутовать устройство. По словам создателя он автоматически умеет снимать некоторые виды Certificate Pinning, который используется во Flutter. Как мне кажется, только ради этого можно его попробовать 😁

Я сам пока не добрался до него, так как не было подходящего случая, но, думаю что в скором поюзаю) Ну и если у вас есть опыт использования - напшите, как этот фреймворк показывает себя в деле)

#tools #flutter #reverse #pinning

CTF под Android в Google Play со скорбордом и печеньками

Очень странно, что я не видел этих ребят раньше, мне казалось, что уже про них рассказывал, но тем не менее, весьма интересный и развивающийся проект - hpAndro!

Представляет из себя CTF для Android, написанный на котлин. На сайте доступен сеорборд и есть все шансы туда попасть 😎

Ну и в целом, всегда приятно немного поиграть, если есть время и силы :) в процессе можно попробовать новые инструменты и, если есть уже прохождение, попробовать найти другой способ получения флага!

Всем удачной игры и поиска багов!

P.S. У ребят ещё есть отличный канал на YouTube, где много разных видео, начиная с прохождения их CTF, заканчивая обзором разных инструментов, оч классно!

#android #ctf #tools

Анализ Xamarin-приложений.

Хотя я и очень не люблю кроссплатформенные приложения, но приходится весьма часто иметь с ними дело.

В последнее время, это конечно все больше Flutter, но встречаются еще и на других платформах.

Одна из таких платформ - это Xamarin. В статье очень здорово описана сама технология, есть описание структуры и архитектуры таких приложений, а также перечислены различные инструменты и техники по анализу подобных приложений.

Если вы никогда не сталкивались с подобным и вот нужно что-то проанализировать, эта статья отличная отправная точка для этого.

Кстати, в соседнем чате от @OxFi5t тоже есть очень классный совет по Xamarin-приложениям, переходите, читайте обязательно :)

#xamarin #reverse #tools

Интересный инструмент для изменения ресурсов

Интересный инструмент APKEditor, никогда с ним ранее не сталкивался. Хорошо умеет изменять ресурсы внутри APK, собирать из нескольких split один standalone и прикольная штука с защитой ресурсов от дальнейшей модификации.

Инструмент активно дорабатывается и коммиты еще идут (23 апреля, 1 мая, 11 мая), так что есть надежда, что инструмент еще поживет какое-то время, а может даже будет развиваться!

В любом случае, может быть полезным, если нужно что-то быстренько поправить только в ресурсах.

Если кто-то его использует, отпишитесь, как оно, пожалуйста?

#android #smali #APK #tools