Эмулятор iOS на базе QEMU с поддержкой KVM

Как-то это прошло мимо меня. но оказывается есть эмулятор для iOS на базе QEMU!

Запускается вместе с графической оболочкой (по отзывам) и ssh-доступом на устройство. На данный момент проект поддерживает (переводить не буду, а то мой перевод может быть вообще не тем, что имел ввиду автор):
- launchd services
- Interactive bash
- R/W secondary disk device
- Execution of binaries (also ones that are not signed by Apple)
- SSH through TCP tunneling
- Textual FrameBuffer
- ASLR for usermode apps is disabled
- ASLR for DYLD shared cache is disabled
- GDB scripts for kernel debugging
- KVM support
- TFP0 from user mode applications

Master-ветка обещает нам полноценную поддержку iOS 12, а так же есть ветка с поддержкой iOS 14! Конечно, немного смущает, что последний коммит был 21 февраля 2021 года... Но вдруг всё настолько стабильно работает, что и править ничего не надо? 🤓

Для тех, кто хочет подробнее узнать о том, как развивался этот проект и почитать достаточно суровые выкладки по тому, как это стало возможным, вот серия статей от создателей этого шикарного репозитория:

1. Running iOS in QEMU to an interactive bash shell (1)
2. Running iOS in QEMU to an interactive bash shell (2)
3. Tunnelling TCP connections into iOS on QEMU
4. Accelerating iOS on QEMU with hardware virtualization (KVM)

Так что не Correlium-ом единым в части виртуализации iOS. Если руки доберутся, обязательно хочу это опробовать и посмотреть, как оно работает. Может в обозримом будущем нам уже не нужны будут реальные устройства, чтобы тестировать приложения на iOS? По крайне мере очень хотелось бы в это верить!

#iOS #emulator #correlium #qemu #kvm

Книга про Frida

Не могу не поделиться шикарным постом про изучение инструмента Frida. Даже дополнить нечего, ушел скачивать :)

Спасибо каналу https://tttttt.me/android_guards_today за отличный материал)

Про Frida уже написано столько, что хватит на 3 “войны и мира”, но часто это какие-то прикладные статьи или туториалы начального уровня. За границами этих туториалов начинается остервенелое изучение документации, которая, ИМХО, не так хороша как могла бы быть. Тем интереснее книга, которую я после долгих раздумий все же решился прочитать и не пожалел - Beginning Frida. У меня вообще есть практика периодически изучать материалы начального уровня чтобы закрыть возможные пробелы в знаниях.

Книга в меньше степени про использование Frida в Android и в большей про то как устроен инструмент, как на нем решать различные задачи и про экосистему вокруг. Тем и ценна.

Автор сильно упростил мне задачу написав какие главы нужно читать обязательно, а какие можно пропустить. Я прочитал все и теперь полностью согласен с его рекомендациями:

Глава 1: Настройка среды. Будет полезна тем, кто никогда про Frida не слышал или давно хотел попробовать, но руки не доходили. Остальные там ничего интересного не найдут.

Глава 2: Базовые приемы работы. Смело пропускаем если уже трогали тетю Фриду ;)

Глава 3: Работа с frida-trace. Нашел для себя несколько интересных вещей касательно модулей.

Глава 4: Углубленная работа с frida-trace. Мне показалась интересной. Можно пробежаться глазами и поискать интересные практики для себя.

Глава 5: Переход от трейсинга к сталкингу. Есть полезная инфа про frida-stalker и немного про frida-gadget

Глава 6: Разработка собственных инструментов. Новичкам будет полезно, джедаям - вряд-ли.

Глава 7: Разбор компонета frida-server. Есть интересное, в т.ч. запуск по сети.

Глава 8: Введение в NativeFunction. Довольно полезная глава. Есть интересные практики.

Глава 9: Frida и Android. Новичкам обязательна к прочтению. А также всем тем, кто ловил странные проблемы с Frida. У кого и так все хорошо - не читайте.

Глава 10: Работа с библиотечными функциями и памятью. Полезная глава. Есть хорошие примеры работы с адресами функций и поиску значений в памяти.

Глава 11: Как писать обертки на Python. Тоже хорошая глава. Отлично раскрывает концепцию RPC, которую я редко вижу в скриптах, а при этом она довольно полезная.

Глава 12: Решение пары OWASP-овских crackme на Android. Новички, вам сюда. Джедаи, проходите мимо.

Глава 13: Как открыть Telegram в Objection. Будет полезна все тем же новичкам и людям не знакомым с Objection.

Глава 14: Небольшое описание Codeshare. А вы знали, что там можно зарегистрироваться? 😀

Что касается самого текста, то он читается довольно легко. Я пробежался буквально за пару вечеров. Ссылку на торренты не прикладываю. Вы же хакеры, сами найдете 😎

Blackhat Europe

Не могу не поделиться постом про мобильные доклады на Blackhat!

Советую посмотреть!

Выложили видео с Black Hat Europe 2021. Даже есть несколько на мобильную тему, но внимания достойны только два из них. Так что если у вас есть время только на два (или одно) видео, то вот они:

A Titan M Odyssey. Доклад от широко известных в узких кругах ребят из Quarkslab. И это тот самый доклад который имеет смысл посмотреть если может посмотреть только один. Они расковыряли гугловый чип Titan M и рассказали о нем в одном докладе больше подробностей, чем Google во всех своих рекламных проспектах. А под занавес доклада показали еще несколько узявимостей. Вообще ничего не хочу сюда больше добавлять. Просто надо смотреть.

A Universal Way to Exploit Android PendingIntents in High-profile and System Apps. Доклад от наших друзей из Поднебесной, которые такие же мастера в придумывании коротких названий докладов как и я. Сам доклад и стоящее за ним исследование весьма достойные. Если никогда не смотрели в сторону техник эксплуатации PendingIntent-ов, то однозначно рекомендую. Правда в большинстве случаев, баги такого рода это не “низко висящие фрукты”. Эксплуатация требует ряда дополнительных условий и чаще всего не так красива как 1-click RCE через Google Play Library. Тем не менее про этот класс уязвимостей знать нужно и пентестерам и разработчикам.

Полный плейлист тут.

Гайд по пентесту iOS

Отличный гайд для начала своего пути в пентесте мобильных приложений на платформе iOS.

Написан качественно, понятно и достаточно подробно. И есть куда покопать после, походить по ссылочкам и всё такое!

Рекомендую даже тем, кто уже давно этим занимается, ведь всегда можно почерпнуть или придумать что-то новое, когда читаешь уже известные тебе вещи)

#iOS

Mobius объявляет набор докладов

Конференция для разработчиков мобильных приложений стартует CFP.
Если у вас есть, что рассказать, подавайтесь) Очень хочется, чтобы докладов по безопасности было побольше и они были посочнее, чем обзор OWASP Mobile :)

Так что очень надеюсь послушать вас на этой конфе :)

Конференция Mobius от JUG Ru Group возвращается! 🔥

Mobius 2022 Spring — 23-26 мая, онлайн

Вы можете стать ее спикером. Если хотели поделиться знаниями с профессиональным сообществом, но сомневались, стеснялись или просто ждали удачного момента — это он.

От вас требуется только идея доклада — программный комитет поможет подготовиться. Конференция пройдет онлайн, поэтому можно выступить удаленно либо приехать для этого в студию в Питере.

Вот примеры тем, которые хотели бы видеть в программе:
– под капотом: ОС, языки, интеграции;
– архитектура;
– качество продукта: перформанс, accessibility, UI/UX;
– тренды: SwiftUI, Jetpack Compose, KMM, развитие платформ и сферы в целом;
– инфраструктура.

Но это лишь рекомендации — прийти можно с чем-то совершенно своим.

Заявки принимают до 21 марта.
Переходите на сайт, чтобы узнать больше и заполнить анкету.

Кстати, билеты уже в продаже.

Обучающие видео по анализу приложений

Есть занятный канал про безопасность, на котором в том числе есть отдельная секция по мобилкам.

Достаточно подробно разбираются некоторые уязвимости, например в deeplink или intent redirection и т.д.

Достаточно годный материал, но только для тех, кто может слушать индусский английский. Я вот с трудом его переношу)) но если вам ок, то можно послушать :)

#android #youtube #guide

Интеграция Burp Suite и Frida - Brida

Продолжаю тему интеграций различных инструментов, в которых очень часто оказывается Frida 😅

Ещё давно я встречал плагин для Burp, который позволял отлавливать интенты в Android и работать с ними в Burp (повторять, фаззить и т.д.). Не могу сейчас найти это репо, но попробую.

И вот новый виток интеграции, как назвали его авторы - Brida.
Сам пока не смог протестировать, но судя по заявленному функционалу в репозитории, обещает быть очень интересным:
- большое количество готовых хуков для Android и для iOS, которые можно вызвать напрямую из GUI инструмента
- функциональность анализа бинаря, который представляется в виде дерева функций/классов и т.д. Возможность сразу навешивать хуки на интересующие методы и следить за их выполнением
- консолька для собственных хуков

И всё это из интерфейса BurpSuite!

Ну и в дополнение смотреть в одном инструменте сразу и запросы и результаты хуков может быть достаточно удобно.

У них достаточно много выступлений, неплохая документация. Из последнего, можно посмотреть видео с конференции Hack the Paris 2021

А так же два демо приложения в репозитории, на которых можно потестить (на них он должен работать :D )

Выглядит достаточно вкусно 🤓

#frida #ios #android #burp #integration

Вот это красота :))

Группа LAPSU$ объявила о взломе компании Samsung. В сеть утекло порядка 190Гб данных: исходный код различных продуктов компании, загрузчиков, механизмов аутентификации и идентификации, серверов активации, системы защиты Knox, online-сервисов, API, а также проприетарных компонентов, поставляемых компанией Qualcom.

Кроме этого великолепия, заявляется, что утечка содержит код всех TA-апплетов для TEE, а также код управления ключами модулей DRM и биометрической идентификации. Все это добро можно найти самостоятельно на torrent-ах или взять готовый файлик у бота r0 crew: https://tttttt.me/c/1344358540/91620 (инвайт в канал тоже нужно получать через бота).

Это все грозит нам очень интересными последствиями. Ожидаем волны RCE эксплойтов для смартфонов любимого производителя ;)

Наиболее распространенные уязвимости в мобильных приложениях

Всем привет!

Для начала, простите за длительное молчание, в связи со всеми событиями, да еще и подготовкой самого масштабного релиза, совсем не оставалось времени на то, чтобы что-то публиковать. Но потихоньку дела налаживаются и самое время снова выйти из тени.

И вернуться я хочу с публикации статьи "Наиболее распространенные уязвимости в мобильных приложениях".
Так как мы разрабатываем свой инструмент для динамического анализа, мы постоянно тестируем и анализируем десятки приложений (иногда прям по 10-ку в день получается) и за все время собрали немало статистики и наблюдений. Все эти вещи вылились в статью, в которой я описал наиболее распространенные уязвимости, которые мы находим в приложениях во время анализа.

Как ни странно, но они мало чем отличаются от OWASP, даже не смотря на то, что последняя версия Mobile Top 10 вышла в далеком 2016 году. Я попробовал совместить наши наблюдения и небольшой опыт по способам недопущения этих проблем и как лучше всего было бы сделать те или иные вещи.

Я на самом деле каждый раз переживаю, как будет воспринята та или иная статья и всегда с радостью принимаю замечания, так что пишите, не стесняйтесь, если с чем-то не согласны или где-то есть ошибки и неточности.

Надеюсь эта статья и такой формат зайдут, так как я хочу попробовать выдерживать некоторую регулярность и раз в неделю-две писать новые статьи и материалы на основе нашего опыта и наших данных. На это меня сподвигло понимание того, как на самом деле немного годного материала на русском языке про безопасность мобильных приложений.
Сейчас я составляю некоторую подборку и понимаю, что основным контент-мейкером является @OxFi5t, за что ему огромное спасибо! Ну и я постараюсь внести свой небольшой вклад в это замечательное дело 😁

Всем хорошей недели и приятного чтения!

#Android #iOS #Habr

RCE в Evernote

И снова в главной роли приложение Evernote!

После того, как @bagipro написал пост про обнаружение в нём кучи дырок, я думал, они задумались над безопасностью, но похоже, что не очень.

Исследователь обнаружил возможность перезаписи произвольных файлов через Path Traversal, ну и как следствие, перезапись .so файлов и выполнение произвольного кода.

Интересно на самом деле почитать дискуссию автора и компании на H1, сколько он сделал для того, чтобы они поняли, в чем бага и как её просплойтить :) ну и код можно подрезать))

Такие дисклозы ещё раз подтверждают необходимость тщательно следить за входными данными от пользователя 😄

Ну и конечно, надо отдать должное, функционал, в котором бага была найдена достаточно интересный и специфичный.

Приятного чтения!

#android #h1 #rce #evernote

Что такое SafetyNet и зачем он нужен

Нашел неплохой 40 минутный подкаст на тему SafetyNet, что это такое, зачем нужно, какие плюсы и минусы.

Краткий тайминг, что внутри:
• 02:09 - What is SafetyNet and what does it do?
• 06:41 - How do modders get around SafetyNet?
• 11:22 - What advantages does each side of this battle have?
• 15:33 - What is hardware attestation? What makes it hard to break? Can it be bypassed?
• 24:50 - What options do developers have in ensuring their apps are operating in safe envrionments?
• 32:26 - What's the overall outlook as Google begins to replace SafetyNet with its new Play Integrity API?

Должно быть интересно тем, кто задумывается над его использованием.

#google #safetynet #android

Что нового в Android 13?

Очень подробное описание практически всех нововведений и изменений в новой версии Android 13 было опубликовано некоторое время назад.

Конечно, эта статья не очень из мира ИБ, но почитать все равно очень интересно, что и как улучшают в своей системе Google, где и что пришло к ним от Apple (и можно еще попробовать угадать, что появится в следующей версии iOS из этого списка).

Интереснее всего почитать про Platform Changes и API Updates, а так же про изменения в Privacy Dashboard

Приятного чтения!

#Android13 #changes #updates

Google начнет скрывать приложения, собранные с устаревшей версией TargetSDK

Компания Google предупредила разработчиков, что будут усилены требования к уровню Target API (Android API), для которого собираются приложения.

На практике это означает, что с 1 ноября 2022 года приложения в магазине Google Play не будут доступны для поиска и установки, если при их создании использовался устаревший TargetSDK (срок давности которого превышает два года). По мере выхода новых релизов Android, окно версий, в рамках которого можно указывать целевой уровень, будет меняться соответствующим образом.

Говорят, это только одно из нововведений в политике, так что ожидаем и других новостей. Но, как мне кажется, следующим логичным шагом будет аналогичное “окно“ для установки минимальной версии SDK, которое позволит отсечь совсем уж старые устройства.

#google #android #targetsdk #privacy