Девайсы для пентеста МП
Очень частый вопрос:

"Хочу научиться хекать мобильные прилы. Какой телефон взять? Подойдёт ли СуньЛюньВэнь 3000 pro XL lite extreme?"

Разберём всё по порядку 👇

Если вы только начинаете
Телефон вам не нужен.
Для старта хватит эмулятора в Android Studio — это лучший вариант, чтобы не тратить деньги и сразу вкатиться в процесс.

Когда уже понимаете, что нужен реальный девайс, смотрите сюда:

Android

1. Nothing Phone / CMF — удобно, просто и за пользование могут дать кошко жену
2. Pixel 6–7 — идеальный вариант: куча гайдов, кастомы, загрузчик ещё не закрыли
3. OnePlus — только если загрузчик можно разлочить (надо проверять)

⚠️ Всё остальное — на свой страх и риск. Часто непонятно, как разблокировать и прощить загрузчик сколько по времени это займёт.
Пример: недавно пробовал прошить boot.img на Samsung S24 — по гайдам всё должно было работать, но в итоге так и не получилось.

iOS
Тут всё проще, но тоже со своими нюансами:

1. iPhone X
2. iPhone 8
3. iPhone 7 (но только если вам точно не нужна iOS 16)

Берите устройства в адекватном состоянии, обязательно проверяйте их перед покупкой.

Где брать:
- Авито
- Скупки

Там можно найти дешёвые, уже пожившие телефоны, которых для наших задач хватит с головой.

P.S.> Рейтинг составлен на основе того, что я сам использую или что бы взял, если бы понадобилось.
Понятно, что под специфические задачи может понадобиться и iPhone 14/16, и какой-нибудь дикий СуньЛюньВэнь, но до этих задач ещё нужно дожить и доползти 🙂

🚀 Security Champions = Security Ниндзя

Для нашей команды это не просто модный термин, а важная практика.
Кто-то говорит: «Чемпионов учить не работает» — а у нас работает.
Почему? Потому что мы вкладываем в это любовь, драйв и самоотдачу. Каждый курс для нас — вызов и возможность сделать лучше.

🔥 Только что мы закончили первый поток нового курса по мобильной безопасности. И вот что было:

- 3 дня плотной работы
- 23 участника
- 5 лекций
- 5 практик
- CTF на 4 часа

Курс получился с упором на практику. Мы вложили в него месяцы подготовки😎

💡 Только финальный CTF включал 15 заданий в 4 категориях:

- исправление уязвимостей в коде
- эксплуатация багов на реальном девайсе без root
- Android
- iOS

Мы реально старались так, чтобы на таком курсе захотелось учиться нам самим. И надеемся, что участники почувствовали наш драйв и поняли, насколько мы горим своим делом 🔥

Только так и можно делать обучение безопасности по-настоящему легендарным.
Спасибо всем за эти 3 дня! ❤️

Подборка актуальных Jailbreak для iOS

Jailbreak всё ещё актуален для реверс-инжиниринга, динамического анализа и модификации приложений. Но экосистема изменилась: теперь большинство современных jailbreak'ов — rootless. Собрали, что сейчас актуально.

Dopamine
iOS 15.0 – 16.6.1 (A8–A16)
Rootless jailbreak, поддержка tweak'ов, постоянная разработка. Самый популярный на сегодняшний день

Palera1n
iOS 15.0 – 16.x (A8–A11)
Поддерживает rootful и rootless режимы, основан на checkm8. Самый популярный среди rootful.

XinaA15
iOS 15.0 – 15.1.1 (A12+)
Rootless, поддержка tweak'ов, но нестабилен и больше не развивается.

checkra1n
iOS 12 – 14.8.1 (A7–A11)
Rootful, стабильный, работает даже на macOS/Linux, устарел, но может быть полезен

Rootless — доступ к пользовательским данным и возможностям tweak'ов, но без полного доступа к системным разделам.
Rootful — классический jailbreak с доступом ко всей файловой системе.

Больше деталей - совместимость с устройствами и версиями ОС - в wiki по джейлбрейкам

📱 Прочитал очень интересную статью — исследователи нашли критические уязвимости в предустановленных приложениях на Android-смартфонах (Ulefone, Krüger&Matz): через них стороннее приложение могло вызвать сброс настроек, украсть PIN и внедрить произвольный Intent.

Интересно, как пользователю себя защитить, если получение root-прав и анлок загрузчиков усложняют с каждым годом, а без рута модификация предустановленных приложений почти невозможна...

ios на AlfaCTF
Вчера случайно удалось поучаствовать в AlfaCTF
И решить таску с термометром и ios.
Суть таски заключалась в том что на сайте мы видели устройства и их mac- адреса, но управлять могли только с приложения под ios.

Решение оказалось из нескольких этапов:
1) устанавливаем приложение на айфон с jailbreak
2) настраиваем прокси
3) вносим устройство в прилу и смотрим что происходит. При условии что термостат заглючил и не добавлялся , но у нас были другие устройства
4) Смотрим трафик и замечаем что есть запрос который по маку определяет ip и порт устройства и нет проверки принадлежности устройства нам
5) В трафике находим запрос на изменение состояния устройства и подставляем полученные параметры

Профит😎
Broken access control и мобилка без пиннинга

Сегодня прилетело сентябрьское обновление андроид 16 на pixel
Режим десктопа подвезли 🥳

На днях сравню с S24 от Samsung - но очень круто что будущее все ближе и ближе!!!

Похоже доклады с подлодки послушаем😄
Ещё может быть и тут что-нибудь обсудим😁
Спасибо @iwillpicknicknamelater

Билет на подлодку уходит к @sib_coder , поздравляю!

Всем спасибо за идеи постов, учту их, когда будет время что-то написать.

P.S.
Как только доклад окажется в паблике, опубликую ссылку сюда

К вопросу что за подлодка

В iOS-безопасности нет «поставил и забыл»: инструменты и атаки меняются быстрее релизов.

Если сомневаетесь, что на клиенте всё прикрыто, новый сезон конференции Podlodka iOS Crew 22-26 сентября поможет закрыть дыры.

В программе:

• Региональные ограничения и поведение устройства. Как iPhone определяет доступные фичи для страны, что проверять и как воспроизводить это на практике — со Светославом Карасевым (hh ru).

• Обфускация в iOS. Какие подходы реально мешают реверсу, какие инструменты выбрать и как собрать свой пайплайн на SwiftSyntax — с Павлом Каретниковым (Газпромбанк).

• AppSec для iOS. От ландшафта атак до хранения данных и сети — практики, ошибки и советы, как внедрять безопасную разработку в командах разного размера.

• Финальный разбор мини-CTF. Неделю собираем флаги, в пятницу — разбор находок и выводы для прода — с Никитой Красновым (Альфа-Банк).

🔗 Подробности и регистрация

Не устанавливай 17-ю фриду пока не прочитаешь этот пост 😅

Ну а если без шуток, то в посте разбираю как починить биндинги питона и хуки на JS. Надеюсь эта информация кому-то сэкономит время.

Медуза в элюминаторе — небольшие заметки с подлодки 🚢

Подлодка потихоньку приносит плоды. Конференция оказалась вполне годной. Я кстати решил не играть в CTF, а реально послушать что рассказывают(лень в отпуске что-то ковырять)
Не так много необычных находок, но кое-что стоит отметить — например, Medusa 🐙

По-моему, — красивая и более современная оболочка над Frida скриптами. По сравнению с objection она выглядит свежее и заметно активнее обновляется. Поскольку objection понемногу уходит в прошлое, думаю стоит начать переход на Medusa в рабочих задачах.

Но признаюсь — я тот самый вредный дед: иногда всё ещё использую

frida --codeshare

Иногда ко мне приходят к вопросом , а что ты там глобально на работе делаешь. Вот ответ на все вопросы в одной статье https://habr.com/ru/companies/vk/articles/694522/

Подпиши APK по братски

Многие волнуются из-за новых правил распространения приложений от Google и переживают, что это усложнит пентесты мобильных приложений.
Но, судя по этому посту, изменений для нас нет: через ADB приложения по-прежнему будут устанавливаться без проблем.

Единственное, что усложнится — обычным пользователям станет труднее ставить APK, подписанные непонятно кем.
Злоумышленники, конечно, могут наклепать аккаунтов разработчиков и глобально на ситуацию внедрение подписи не изменит.

Продолжаем просто наблюдать за ситуацией, ну и в бетта-тест "супербезопасной" фичи записываемся

В опасные времена живём...
Атаки на цепочку поставок в мире кнопочных телефонов ...

💡 Вклад в будущее

Почти три года назад мы с друзьями вели курс «Основы ИБ» — по сути, учили школьников базовым вещам из мира CTF.

И вот, спустя три года, я начинаю узнавать, кем стали те ребята. Кто-то сегодня выигрывает реальные CTF , кто-то поступил в топовые вузы на направление информационной безопасности, а кто-то уже мр-ы в OS заливает только так...

Смотреть, как они выросли — невероятно приятно. Ты понимаешь, что твои усилия реально отразились в чьих-то результатах. Я-то сам уже особо в CTF не играю, но мои ученики продолжают — и это, если честно, лучшая мотивация не забивать на идеи и ценности, которые я стараюсь нести в ШИФТ и другие проекты.

А на этой неделе у меня случился прям камбек — я вернулся в школу, где учился девять лет назад. Мы с ребятами пришли туда рассказать про кибергигиену. И знаете, я встретил свою бывшую учительницу географии. Именно благодаря её занятиям, где она учила нас запоминать карты и особенности местности, я когда-то научился решать таски по геоосинту. Был дико рад увидеть её — бодрую, энергичную, всё такую же.

Иногда поражаешься, как маленькая, но сделанная с душой работа через годы “стреляет” и возвращается к тебе в виде чужих достижений, вдохновения и даже случайных встреч.

Почему мало постов? Потому что я пишу одну приколюху 🛠️
Это Mobile Auto Pentest 📱🔐
Хочу собрать «мобильную ферму» из устройств разных вендоров, чтобы к ней можно было подключиться из веба, а не передавать девасы физически. Плюс, чтобы тестировщики могли закрывать часть кейсов без постоянного пинга AppSec 🧪
Сейчас функционал минимальный и багов хватает, но я уже гоняю это в RL тестах. Возможно когда оно будет менее костыльное выложу на github.

GrapheneOS, похоже, выходит за рамки Pixel — ура! 🎉
Среди Android-производителей ещё есть те, кто ставит на первое место приватность и свободу выбора пользователя.
Я рад что не все производители наплевали на выбор пользователей в сторону кастомых прошивок.
Подробнее: https://www.androidauthority.com/graphene-os-major-android-oem-partnership-3606853/

Подборка Android-эмуляторов

Не всегда есть возможность держать зоопарк устройств, и для целей анализа приложений часто хороший компромиссный вариант - использовать эмулятор. Но идеального эмулятора не существует, поэтому в этой подборке мы собрали популярные варианты под различные задачи.

Android Emulator (AVD / SDK)
Win / macOS / Linux
Официальный эмулятор от Google. Подходит для отладки, работы с Frida, тестов под разные версии Android.
✅ Бесплатный, гибкий, с поддержкой Play Services.
❌ Иногда нестабилен при работе с Magisk/Frida.

Genymotion Desktop
Win / macOS / Linux
Известен хорошей производительностью и UI. Подходит для UI/UX тестов, частично для анализа поведения.
✅ Лёгкий, кастомные образы.
❌ Сложно работать с Frida из-за SELinux, root доступ не всегда стабильный.

Waydroid
Linux only
Запускает Android поверх Linux как контейнер. Подходит для анализа поведения, интеграции с Linux-средой.
✅ Почти нативная скорость, доступ к ADB.
❌ Только для Linux, не всегда стабилен, требует конфигов.

Anbox
Linux only
Контейнеризированный Android на базе LXC. Подходит для специфических кейсов, интеграции с Linux.
✅ Open Source, легко кастомизировать.
❌ Стареет, нет Google Play, ограниченная поддержка.

MEmu / LDPlayer / BlueStacks
Windows only
Популярны в гейм-сообществе, но можно и для реверса. Подходит для анализа пользовательского поведения, обходов антиэмуляторных чеков.
✅ Просты в установке.
❌ Часто с рекламой, root эмуляция нестабильна. Только Win.

Знаете еще полезные эмуляторы? Пишите в комментах!

Новый тип аттак на приложения 2FA https://www.pixnapping.com/