Grapefruit: suite open-source per test di sicurezza mobile

Toolkit di strumentazione runtime per applicazioni mobile basato su Frida. Ispeziona, applica hook e modifica le app mobile tramite un'interfaccia web.

Ora supporta sia iOS che Android!

Avvio rapido

Richiede il server Frida in esecuzione sul dispositivo. Segui prima le guide di configurazione ufficiali(Android).

npm (consigliato, richiede Node.js 22.18+)

npm install -g igf
igf

Oppure esegui senza installare (richiede Node.js 22.18+)

npx igf

Binari precompilati per macOS, Linux e Windows sono disponibili su GitHub Releases. Sia lo sviluppo da sorgente che gli eseguibili precompilati utilizzano Node.js; consulta la guida allo sviluppo per il flusso di lavoro npm.

Utilizzo

igf [options]           Start the server (default)

Options:
  --frida <16 | 17>      Frida version to use (default: 17)
  --host <host>          Host to bind (default: 127.0.0.1)
  --port <port>          Port to bind (default: 31337)
  --project <path>       Project directory for data/cache/logs (default: .igf in cwd)
  --no-open              Do not open browser on startup
  --help, -h             Show help message

Variabili d'ambiente

I flag della riga di comando hanno precedenza sulle variabili d'ambiente quando entrambi sono impostati.

Funzionalità

• Hook dei metodi a runtime - Intercetta funzioni native e gestite con registrazione strutturata
• Intercettazione delle API crittografiche - Monitora le operazioni di cifratura/decifratura con acquisizione dei dati
• Browser del filesystem - Naviga, carica, scarica e ispeziona file con anteprima hex/testo
• Ispezione dei database SQLite - Esplora tabelle, esegui query e visualizza i risultati
• Streaming Syslog - Monitoraggio in tempo reale dei log di sistema e degli agenti
• Segnalazione dei crash di processo - Gestore delle eccezioni con dump dei registri e backtrace
• Supporto Flutter - Monitora la comunicazione dei canali dei metodi della piattaforma su entrambe le piattaforme
• Supporto React Native - Bridge inspector e REPL per l'iniezione di JavaScript
• Scanner di memoria - Cerca e ispeziona la memoria dei processi
• Monitor della privacy - Tiene traccia dell'accesso alle API sensibili (fotocamera, microfono, posizione, sensori, ecc.)
• Ispezione dei thread - Visualizza e gestisci i thread dei processi
• Browser di moduli/simboli - Ispeziona i moduli caricati e i simboli esportati
• Analisi e decompilazione - DEX, bytecode Hermes e codice nativo. Assistenza IA disponibile per la generazione di script di hook

iOS

• Accesso e modifica del portachiavi (Keychain)
• Acquisizione del traffico delle sessioni NSURL (HTTP/HTTPS/WebSocket)
• Ispezione di WebView e JSContext con esecuzione di JavaScript
• Dump della gerarchia UI ed evidenziazione degli elementi
• Visualizzatori di Info.plist, entitlements e cookie binari
• Bypass biometrico (Touch ID / Face ID)
• Browser di UserDefaults
• Monitoraggio degli appunti e delle operazioni sui file
• Spoofing della geolocalizzazione
• Spoofing dell'ID del dispositivo
• Ispezione di classi e metodi Objective-C
• File aperti e connessioni di rete (lsof)
• Analisi di sicurezza (PIE, ARC, stack canaries, cifratura)
• Visualizzatore del catalogo asset (Assets.car)
• Ispezione dei messaggi XPC/NSXPC

Android

• Decoder di AndroidManifest.xml e browser dei componenti (activity, service, receiver, provider)
• Ispezione dell'Android Keystore con attributi delle chiavi
• Query, inserimento, aggiornamento ed eliminazione sui content provider
• Tracciamento delle chiamate JNI con argomenti, valori di ritorno e backtrace
• Ispezione delle classi Java (metodi, campi, interfacce)
• Creazione e avvio di Intent
• File aperti e connessioni di rete (lsof)
• Acquisizione del traffico HTTP (OkHttp, Volley, URLConnection)
• Browser delle risorse
• Monitoraggio di Clipboard e SharedPreferences
• Monitoraggio dei broadcast receiver

Documentazione

• CLI e demone
• Sviluppo
• Architettura
• RPC
• Riconoscimenti

Ambito e Non-Obiettivi

Questo progetto non include bypass integrati per le protezioni anti-manomissione:

• Bypass del rilevamento di Frida
• Bypass del certificate pinning SSL/TLS
• Bypass del rilevamento di jailbreak o root

Motivazione: le soluzioni RASP (Runtime Application Self-Protection) si evolvono continuamente per rilevare i framework di strumentazione. Mantenere bypass efficaci richiede uno sforzo costante per stare al passo con i nuovi metodi di rilevamento, introducendo un onere di manutenzione significativo e potenziali problemi di stabilità. Questi bypass sono inoltre altamente specifici per applicazione, rendendo fragili le soluzioni generiche.

Piuttosto che fornire bypass integrati fragili, Grapefruit si concentra su capacità di strumentazione e ispezione che si integrano bene con strumenti di bypass dedicati.

Approcci consigliati per valutazioni autorizzate in cui è richiesto il bypass RASP:

1. Frida Syscall Tracer — Usa frida-strace (Frida 17.8.0+) per tracciare le chiamate di sistema nel processo target. Questo aiuta a identificare gli artefatti di rilevamento e a determinare le patch necessarie prima di collegare Grapefruit:

   root@kitploit:~

   frida-strace -U -f com.example.app
   

   Consulta le note di rilascio di Frida 17.8.0 per i dettagli.

2. Architettura multi-sessione — Frida supporta più sessioni collegate allo stesso processo. Avvia prima una sessione separata con i tuoi script di bypass RASP, poi avvia Grapefruit. Quando Grapefruit rileva che l'app target è già in esecuzione, si collega al processo esistente anziché riavviarlo, preservando tutti i bypass già attivi.

Sicurezza

Grapefruit si collega a 127.0.0.1 per impostazione predefinita e non dispone di autenticazione integrata. L'interfaccia web e l'API sono accessibili a qualsiasi processo locale. Sebbene le richieste cross-origin siano bloccate per impostazione predefinita (nessuna intestazione CORS, Socket.IO rifiuta le connessioni cross-origin), questo da solo non è sufficiente per un ambiente condiviso o remoto.

Se hai bisogno di accesso remoto o sicurezza multi-utente, metti Grapefruit dietro un reverse proxy autenticato come Caddy per TLS, controllo degli accessi e logging. Non esporre Grapefruit direttamente alla rete senza autenticazione.

Licenza

MIT