​​В продолжении темы книг - подборка по безопасности и анализу мобильных приложений под iOS! Включает в себя:

- iOS App Reverse Engineering - отличная книга практических советов по анализу iOS приложений при помощи Reverse Engineering. Пожалуй, наиболее подробный материал, который я читал по этому направлению.

- iOS_Forensics_Cookbook - книга, посвященная анализу данных на системе iOS, как и где можно посмотреть данные, что полезного хранят в себе логи, бэкапы, и какие утилиты можно использовать для удобного анализа

- iOS_Hackers_Handbook - не самая свежая, но хорошая книга по анализу. Описанные техники не самые новые, но описание архитектуры и модели безопасности iOS описаны подробно и понятно

- Mac OS X and iOS Internals - наверное, одна из самых подробных и сложных для меня книг, которая максимально подробно описывает, что происходит внутри операционной системы, памяти, ядра и прочих темных переулках iOS

- Mobile App Hackers Handbook - хорошая книга для начала изучения безопасности мобильных приложений, дает представление простым и понятным языком о многих вещах, пытаясь совместить в себе и описание анализа приложений и защиты.

Их, конечно намного меньше, чем по Android, но есть что почитать вечерком :)
Enjoy!

#iOS #Books #Education

https://drive.google.com/file/d/1X9StporiApy_UP2gd1b-2djmwcIRq524

Спасибо @ChadwickBlackford из нашего чата за еще несколько интересных материалов по Android, забрал себе в "библиотеку", будем изучать :)

Материалы включают в себя:

- Practical Android Application Exploitation - подробная презентация Workshop'а с DEFCON по практическому анализу Android.

- Hacking Android - по беглому просмотру может оказаться очень полезной, описывается использование различных методов анализа при помощи достаточно современных утилит, что выгодно отличает эту книгу от большого количества статей в интернете

Если у кого есть интересные материалы - пишите, потом соберем всё в одну большую подборку 🤓

#Android #Books #Education

​​Немного не про мобильные приложения, но где-то около, на тему IoT и популярных GPS-трекеров.

Честно говоря, я зачитался этими двумя статьями(первая и продолжение), которые опубликовали специалисты из компании Avast. Они провели полноценное исследование, как именно взаимодействуют популярные небольшие GPS-трекеры, их протоколы взаимодействия (GSM, SMS, HTTP, Web) и в каждом из них нашли шикарные уязвимости, которые позволяют полностью скомпрометировать устройство и следить за людьми (а в некоторых случаях и управлять машиной, если такой трекер интегрировать в машину). 😱

Что еще интересно - это механизм WhiteLabel, когда одно и то же устройство выпускается под десятками разных имён и различаются только картинками и интерфейсом (спойлер: практически все исследуемые трекеры используют один и тот же уязвимый API). То есть, одна уязвимость в любом из компонентов автоматически тиражируется на всё! 😏

В общем, потрясающие статьи для прочтения за чашкой утреннего кофе)

#IoT #GPS #Research

Мне всегда очень нравились видео-курсы, презентации или видео материалы по анализу мобильных приложений. Просто потому, что это наглядно и для меня так проще воспринимать информацию. Уже после просмотра можно углубиться в техническую составляющую и засесть за заметки, которые делал по ходу выступления. А если еще спикер умеет рассказывать, вообще 🔥

Это к тому, что уже 2-го июля (в четверг) в 21:00 по Московскому времени пройдет вебинар от OWASP по безопасности и анализу iOS-приложений. Несколько тем, которые будут затронуты:

- Общие проблемы безопасности iOS приложений, основанные на реальных кейсах
- Начало работы, настройка среды для анализа
- Поверхность атаки на приложения экосистемы iOS
- Что можно сделать на не Jailbreak устройстве?

Выглядит достаточно интересно, я уже зарегистрировался, посмотрим, расскажут ли что интересное 🤓

#iOS #Analysis #Webinar

https://www.meetup.com/Bay-Area-OWASP/events/271550835/

Не забываем, кто записался, через 5 минут начало 😁

​​В моей любимой извечной игре "спрячь root - найди root" Google сделал свой ход конем 🦄

В новых версиях SafetyNet появился крайне интересный функционал, представленный в виде нового поля "evaluationType", который определяет, как именно была выполнена проверка на легитимность устройства (программно или аппаратно).

Что интересно, раньше для определения факта "взлома" устройства использовалось только программная проверка, что позволяло такому софту, как например, Magisk, благополучно скрывать и себя и модификацию системы. Сейчас же, для некоторых моделей телефонов, завезли аппаратную проверку целостности загрузчика (boot image), для обхода которой нужно попытаться подменить вызовы внутри Google Play Services, что является той еще задачкой 😁

Я очень надеюсь, что это может стать первым шагом для производители Android-устройств в реализации "цепочки доверенной загрузки" по аналогии с iOS, вот это будет огонь! 🔥

#Android #SafetyNet #Root #Defense #Magisk

​​Чем меня радует Android - он не прекращает развиваться, и с каждой новой версией становится всё интереснее и безопаснее (надеюсь) 😁

Вот, например, небольшое описание нововведений, касающихся разрешений. Особенно интересными, на мой взгляд, являются одноразовые разрешения и автоматический "отзыв", если приложение долго не используется. Более подробно рассказывали в видео.

И ещё, помимо безопасности пользователя, разработчики Android работают и над усилением самой платформы, добавляя различные механизмы защиты.

Хочется верить, что так будет и дальше 😎

#Android #Security #Permissions #Release #Android11

​​И снова Snapchat или почему вас забанили? 😁

Я уже писал про это приложение, про реверс для получения уникального токена для взаимодействия с бэком и методам обхода проверок.

И вот ещё две интересные статьи про то, как и что проверяет Snapchat в Android приложении и в iOS версии для определения, что устройство взломано.

Ценность этой статьи в том, что некоторые проверки для меня оказались новыми и я стянул их в свои рекомендации для выявления root/jailbreak 😉

А с другой стороны, планирую добавить несколько хуков, чтобы обходить эти проверки)

В общем, крайне полезно 🤓

#Android #iOS #root #Jailbreak

​​Как заметили в нашем чате (доступен по кнопке "Обсудить"), буквально на днях прошёл Android Security Symposium, как сейчас принято, в онлайн формате 😁

Два дня интересных технических докладов про Android, которые я собираюсь на выходных посмотреть и изучить :) особенно интересено послушать про Memory Tagging for the Kernel, раньше я про такое не знал, но век живи, век учись 🤓

Первый и второй день уже доступны для просмотра! Enjoy!

#Android #webinars #conference

​​Не могу не поделиться шикарной библиотекой для реализации аутентификации в приложении по PIN-коду.

Библиотека вычисляет хэш PIN-кода с помощью функции PBKDF2 и сохраняет его в файле. Файл, в свою очередь зашифрован алгоритмом AES-256 в режиме GCM, а ключи хранятся в AndroidKeystore.

В своих рекомендациях на тренингах и после аудитов я предлагал использовать подобный подход, но теперь есть готовая библиотека, которая реализует всё за вас! 🔥

Разработчик библиотеки ведёт собственный канал @android_guards_today, на который я настоятельно рекомендую подписаться, контент авторский и очень годный! Ещё и чат есть 🤓

#Android #Cryptography #PIN

​​Всё тайное становится явным или как анализировать приложение, защищённое при помощи DexGuard.

На рынке представлены два популярных продукта, которые позволяют реализовывать различные механизмы защиты приложения, это DexGuard и DexProtector. Уверен, что их намного больше, но мне знакомы эти два.

При очень похожем функционале, мне лично больше по душе DexProtector, так как с ними не было случаев сильного повышения цены после года использования, да и документация приятнее.

И не зря, как оказалось 😁
Крайне интересный цикл статей по механизмам работы проверок в DexGuard и, самое главное, о недостатках и способах всё это обойти! 😱

#Android #DexGuard #DexProtector #Encryption #Obfuscation

​​Очень интересно наблюдать, как кто-то анализирует известные приложения и описывает свои находки.

Так и в случае с приложением Nike Run Club - исследователь задался целью выковырять данные из API и преобразовать их в удобный для себя формат. Но, приложение генерировало уникальную строку для авторизации и это нужно было обойти 😁

Хорошая статья про реализацию своей идеи, заодно и навыки Frida прокачать 😉

#Android #NikeRunClub #Revers #Frida

​​А вот и новый выпуск Хакера подоспел, в главной роли - Android!

В выпуске:
- Исследование IPC Android и хукинг нативных библиотек
- Безопасность Android от первой до одиннадцатой версии
- Боевой смартфон. Делаем из устройства с Android «хакерфон» с помощью Termux и Kali

В целом, почитать за чашкой чая вполне можно, тем более материал на русском, что редкость в наше время 🤓

#Android #Xaker #Books

Сложная для моего понимания, но от этого не менее интересная статья про фаззинг Android NFC.

Автор рассказывает, какие подходы н применял и объясняет некоторые вещи, которые могут помочь при написании собственных шаблонов и обвязки для различных фаззеров. Кстати, результатам такого теста стала пачка CVE, которые успешно отработали в Google.

На моей памяти, мы несколько раз использовали фаззинг нативных библиотек, но обычно это были различные обработчики изображений и медиа. Нашли много багов благодаря такому подходу и их успешно пофиксили. Мы использовали тоже классную штуку - AFL (American Fuzzy Loop). Очень удобный и мощный в кривых умелых руках фаззер.

#Android #NFC #Fuzzing #Tools

​​Процессинг изображений, их сжатие, обработка и операции с ними всегда вызывают какую-то странную боль, особенно у программистов 😄

Исключением не стал и Android, достаточное количество уязвимостей и проблем связаны именно с обработкой media (изображений, гифок, видео и т.д.). Очень показательная бага, если вы пропустили - выполнение произвольного кода при обработке изображения.

Но сейчас не о ней, а о цикле статей, касающихся уязвимостей в библиотеке Samsung, отвечающей за процессинг изображений.

Очень подробно и интересно описано. Плюс ко всему автор продолжает описывать свои приключения и выпускает продолжение))

#Android #ImageProcessing #Vulnerability #Research

Нашли тут гайд по практикам безопасного программирования на Kotlin от нашего партнера - Checkmarx!

В целом, достаточно неплохой базовый гайд, разобраны категории из OWASP Mobile Top 10 на примере уязвимого приложения Goatlin. Кстати, на нем можно потренироваться в поиске уязвимостей или проверить разные сканеры.

Можно рекомендовать к прочтению, тем, кто еще плотно не знакомился с Kotlin, ну или устроить на основе этого приложения простой CTF для разработчиков, немного его доработав.

Enjoy!

#Android #Kotlin #Guide

​​Нашёл недавно хороший разбор прохождения уязвимого приложения под iOS - Damn Vulnerable iOS Application v2.

Само приложение хорошо тем, что написано на Swift и даёт возможность попробовать поискать все уязвимости из категории OWASP Mobile Top 10. Причём, как в рантайме, так и по коду.

Автор же в своем обзоре детально расписывает, как именно решить все задачи и пройти все уровни в этом учебном приложении.

Опять же, его можно использовать, как базовый CTF для разработчиков. Но лучше немного допилить, чтобы по этому найду нельзя было один в один пройти))

#iOS #DVIA #Swift #CTF

Присоединяйтесь, поговорим за AppSec :)

В пятницу, 24 июля, будем говорить про SSDLC с Юрием Шабалиным (@Mr_R1p). Обсудим это явление как таковое и кому оно может пригодиться. Поговорим про инструменты и подходы, которые помогут в построении SSDLC и попробуем поразбирать реальные кейсы применения.

Это будет прямой эфир, так что готовьтесь задавать вопросы.

https://youtu.be/EGB8mstJlyA