IOSSecuritySuite

⭐️ Möchten Sie ein zertifizierter iOS Application Security Engineer werden? ⭐️

Schauen Sie sich unseren praktischen & komplett online Kurs an unter: https://courses.securing.pl/courses/iase

ISS Beschreibung

von @_r3ggi

🌏 iOS Security Suite ist eine fortschrittliche und benutzerfreundliche Plattform-Sicherheits- und Anti-Manipulations-Bibliothek, die in reinem Swift geschrieben ist! Wenn Sie für iOS entwickeln und Ihre App gemäß dem OWASP MASVS Standard, Kapitel v8, schützen möchten, dann könnte diese Bibliothek Ihnen viel Zeit sparen. 🚀

Was ISS erkennt:

• Jailbreak 🧨
• Angehängter Debugger 👨🏻‍🚀
• Wenn eine App in einem Emulator ausgeführt wurde 👽
• Gängige Reverse-Engineering-Tools, die auf dem Gerät laufen 🔭

Einrichtung

Es gibt 4 Möglichkeiten, IOSSecuritySuite zu verwenden

1. Quelle hinzufügen

Fügen Sie die Dateien IOSSecuritySuite/*.swift zu Ihrem Projekt hinzu

2. Einrichtung mit CocoaPods

pod 'IOSSecuritySuite'

3. Einrichtung mit Carthage

github "securing/IOSSecuritySuite"

4. Einrichtung mit Swift Package Manager

.package(url: "https://github.com/securing/IOSSecuritySuite.git", from: "1.5.0")

Info.plist aktualisieren

Nachdem Sie ISS zu Ihrem Projekt hinzugefügt haben, müssen Sie auch Ihre Haupt-Info.plist aktualisieren. Es gibt eine Prüfung im Jailbreak-Erkennungsmodul, die die Methode canOpenURL(_:) verwendet und erfordert, dass die URLs angegeben werden, die abgefragt werden.

<key>LSApplicationQueriesSchemes</key>
<array>
    <string>undecimus</string>
    <string>sileo</string>
    <string>zbra</string>
    <string>filza</string>
</array>

Preisgestaltung

Überprüfen Sie unsere EULA-Lizenz für die Details.

TLDR: Wenn Ihr Unternehmen beschäftigt:

• 0-99 Personen - kostenlos nutzbar
• 100-1000 - 3.000 EUR/Jahr
• 1000+ - 10.000 EUR/Jahr

Wenn Sie ein Modul verkaufen möchten, das die iOS Security Suite verwendet (es wird nicht direkt in Ihrer App verwendet) - 10.000 EUR/Jahr

Hinweis

iOS Security Suite ist für die Verwendung auf iOS/iPadOS vorgesehen. Es sollte nicht auf Macs mit Apple Silicon verwendet werden.

Verwendung

Jailbreak-Erkennungsmodul

• Die einfachste Methode gibt True/False zurück, wenn Sie nur wissen möchten, ob das Gerät jailbroken oder nicht jailbroken ist

if IOSSecuritySuite.amIJailbroken() {
	print("This device is jailbroken")
} else {
	print("This device is not jailbroken")
}

• Ausführlich, wenn Sie auch wissen möchten, welche Indikatoren identifiziert wurden

let jailbreakStatus = IOSSecuritySuite.amIJailbrokenWithFailMessage()
if jailbreakStatus.jailbroken {
	print("This device is jailbroken")
	print("Because: \(jailbreakStatus.failMessage)")
} else {
	print("This device is not jailbroken")
}

Die failMessage ist ein String, der durch Kommas getrennte Indikatoren enthält, wie im folgenden Beispiel gezeigt: sileo:// URL-Schema erkannt, Verdächtige Datei existiert: /Library/MobileSubstrate/MobileSubstrate.dylib, Fork konnte einen neuen Prozess erstellen

• Ausführlich & filterbar, wenn Sie zum Beispiel Geräte identifizieren möchten, die früher jailbroken waren, aber jetzt nicht mehr jailbroken sind

let jailbreakStatus = IOSSecuritySuite.amIJailbrokenWithFailedChecks()
if jailbreakStatus.jailbroken {
   if (jailbreakStatus.failedChecks.contains { $0.check == .existenceOfSuspiciousFiles }) && (jailbreakStatus.failedChecks.contains { $0.check == .suspiciousFilesCanBeOpened }) {
         print("This is real jailbroken device")
   }
}

Debugger-Erkennungsmodul

let amIDebugged: Bool = IOSSecuritySuite.amIDebugged()

Debugger vollständig verweigern

IOSSecuritySuite.denyDebugger()

Emulator-Erkennungsmodul

let runInEmulator: Bool = IOSSecuritySuite.amIRunInEmulator()

Reverse-Engineering-Tools-Erkennungsmodul

• Die einfachste Methode gibt True/False zurück, wenn Sie nur wissen möchten, ob das Gerät Anzeichen von Reverse Engineering aufweist

if IOSSecuritySuite.amIReverseEngineered() {
  print("This device has evidence of reverse engineering")
} else {
  print("This device hasn't evidence of reverse engineering")
}

• Ausführlich & filterbar, wenn Sie auch die Liste der durchgeführten Prüfungen möchten

let reverseStatus = IOSSecuritySuite.amIReverseEngineeredWithFailedChecks()
if reverseStatus.reverseEngineered {
   // check for reverseStatus.failedChecks for more details
}

System-Proxy-Erkennungsmodul

Jetzt können Sie auch erkennen, ob eine App mit einem VPN verbunden ist

let amIProxied: Bool = IOSSecuritySuite.amIProxied(considerVPNConnectionAsProxy: true)

Lockdown-Modus-Erkennungsmodul

let amIInLockdownMode: Bool = IOSSecuritySuite.amIInLockdownMode()

Experimentelle Funktionen

Laufzeit-Hook-Erkennungsmodul

let amIRuntimeHooked: Bool = amIRuntimeHook(dyldWhiteList: dylds, detectionClass: SomeClass.self, selector: #selector(SomeClass.someFunction), isClassMethod: false)

Symbol-Hook-Verweigerungsmodul

// If we want to deny symbol hook of Swift function, we have to pass mangled name of that function
denySymbolHook("$s10Foundation5NSLogyySS_s7CVarArg_pdtF")   // denying hooking for the NSLog function
NSLog("Hello Symbol Hook")
     
denySymbolHook("abort") 
abort()

MSHook-Erkennungsmodul

// Function declaration
func someFunction(takes: Int) -> Bool {
	return false
} 

// Defining FunctionType : @convention(thin) indicates a “thin” function reference, which uses the Swift calling convention with no special “self” or “context” parameters.
typealias FunctionType = @convention(thin) (Int) -> (Bool)

// Getting pointer address of function we want to verify
func getSwiftFunctionAddr(_ function: @escaping FunctionType) -> UnsafeMutableRawPointer {
	return unsafeBitCast(function, to: UnsafeMutableRawPointer.self)
}

let funcAddr = getSwiftFunctionAddr(someFunction)
let amIMSHooked = IOSSecuritySuite.amIMSHooked(funcAddr)

MSHook-Verweigerungsmodul

// Function declaration
func denyDebugger(value: Int) {
}

// Defining FunctionType : @convention(thin) indicates a “thin” function reference, which uses the Swift calling convention with no special “self” or “context” parameters.
typealias FunctionType = @convention(thin) (Int)->()

// Getting original function address
let funcDenyDebugger: FunctionType = denyDebugger 
let funcAddr = unsafeBitCast(funcDenyDebugger, to: UnsafeMutableRawPointer.self)


if let originalDenyDebugger = denyMSHook(funcAddr) {
// Call the original function with 1337 as Int argument
     unsafeBitCast(originalDenyDebugger, to: FunctionType.self)(1337)
 } else {
     denyDebugger()
 }

Dateiintegritätsprüfungsmodul

// Determine if application has been tampered with 
if IOSSecuritySuite.amITampered([.bundleID("biz.securing.FrameworkClientApp"),
    .mobileProvision("2976c70b56e9ae1e2c8e8b231bf6b0cff12bbbd0a593f21846d9a004dd181be3"),
    .machO("IOSSecuritySuite", "6d8d460b9a4ee6c0f378e30f137cebaf2ce12bf31a2eef3729c36889158aa7fc")]).result {
    print("I have been Tampered.")
}
else {
    print("I have not been Tampered.")
}