Folha de Referência para Testes de Penetração em Aplicações Móveis

A folha de referência de pentest de aplicativos móveis foi criada para fornecer uma coleção concisa de informações de alto valor sobre tópicos específicos de testes de penetração em aplicações móveis, bem como um checklist, mapeado para o OWASP Mobile Risk Top 10, para a realização de pentests.

Distribuições para Testes de Segurança de Aplicações Móveis
Frameworks de Segurança Móvel Tudo-em-Um
Testes de Penetração em Aplicações Android
Testes de Penetração em Aplicações iOS
Laboratório de Testes de Penetração Móvel
Contribuição
Licença

Distribuições para Testes de Segurança de Aplicações Móveis

Appie - Um pacote de software portátil para pentest em Android e uma excelente alternativa às máquinas virtuais existentes.
Android Tamer - Android Tamer é uma plataforma Virtual / Live para profissionais de segurança Android.
Androl4b - Uma máquina virtual para avaliação de aplicativos Android, engenharia reversa e análise de malware
Vezir Project - Ambiente de pentest de aplicações móveis e análise de malware.
Mobexler - Mobexler é uma máquina virtual personalizada, projetada para ajudar nos testes de penetração de aplicativos Android e iOS.

Frameworks de Segurança Móvel Tudo-em-Um

Mobile Security Framework - MobSF - Mobile Security Framework é um framework automatizado de pentest para aplicações móveis (Android/iOS), inteligente, tudo-em-um e de código aberto, capaz de realizar análises estáticas e dinâmicas.
- python manage.py runserver 127.0.0.1:1337
Needle - Needle é um framework modular de código aberto que agiliza o processo de realização de avaliações de segurança de aplicativos iOS, incluindo análise binária, análise estática de código, manipulação em tempo de execução usando Cycript e Frida hooking, entre outros.
Objection - Objection é um kit de ferramentas de exploração móvel em tempo de execução, com tecnologia Frida. Ele foi criado com o objetivo de ajudar a avaliar aplicativos móveis e sua postura de segurança sem a necessidade de um dispositivo com jailbreak ou root.
RMS-Runtime-Mobile-Security - Runtime Mobile Security (RMS), com tecnologia FRIDA, é uma poderosa interface web que ajuda você a manipular aplicativos Android e iOS em tempo de execução.

Testes de Penetração em Aplicações Android

Engenharia Reversa e Análise Estática

APKTool - Uma ferramenta para engenharia reversa de aplicativos Android de terceiros, binários e fechados. Ela pode decodificar recursos para uma forma quase original e reconstruí-los após fazer algumas modificações.
- Desmontando o arquivo apk do Android
  - apktool d <apk file>
- Reconstruindo recursos decodificados de volta para APK/JAR binário com assinatura de certificado
  - apktool b <modified folder>
  - keytool -genkey -v -keystore keys/test.keystore -alias Test -keyalg RSA -keysize 1024 -sigalg SHA1withRSA -validity 10000
  - jarsigner -keystore keys/test.keystore dist/test.apk -sigalg SHA1withRSA -digestalg SHA1 Test
Bytecode Viewer - Bytecode Viewer é um visualizador de bytecode Java avançado e leve. É escrito totalmente em Java e é de código aberto.
Jadx - Descompilador de Dex para Java: ferramentas de linha de comando e GUI para produzir código-fonte Java a partir de arquivos Android Dex e Apk.
APK Studio - IDE de código aberto, multiplataforma, baseada em Qt, para engenharia reversa de pacotes de aplicativos Android.
Oat2dex - Uma ferramenta para converter arquivos .oat em arquivos .dex.
- Deoptimizar classes de boot (a saída estará nas pastas "odex" e "dex")
  - java -jar oat2dex.jar boot <boot.oat file>

Análise Dinâmica e de Tempo de Execução

Cydia Substrate - Cydia Substrate para Android permite que desenvolvedores façam alterações em software existente com extensões do Substrate que são injetadas na memória do processo de destino.
Xposed Framework - O framework Xposed permite modificar aspectos e comportamentos do sistema ou de aplicativos em tempo de execução, sem modificar nenhum pacote de aplicativo Android (APK) ou refazer o flash.
PID Cat - Uma atualização do excelente script colorido de logcat de Jeff Sharkey, que mostra apenas entradas de log de processos de um pacote de aplicativo específico.
Inspeckage - Inspeckage é uma ferramenta desenvolvida para oferecer análise dinâmica de aplicativos Android. Ao aplicar hooks em funções da API Android, o Inspeckage ajudará você a entender o que um aplicativo Android está fazendo em tempo de execução.
Frida - O kit de ferramentas funciona usando um modelo cliente-servidor e permite injetar em processos em execução não apenas no Android, mas também no iOS, Windows e Mac.
Diff-GUI - Um framework web para começar a instrumentar com os módulos disponíveis, fazendo hook no código nativo e injetando JavaScript usando Frida.
Fridump - Fridump usa o framework Frida para despejar endereços de memória acessíveis de qualquer plataforma suportada. Ele pode ser usado em um sistema Windows, Linux ou Mac OS X para despejar a memória de um aplicativo iOS, Android ou Windows.
House - Um kit de ferramentas de análise de aplicativos móveis em tempo de execução com GUI web, com tecnologia Frida, projetado para ajudar a avaliar aplicativos móveis por meio da implementação de hooking e interceptação dinâmica de funções e com o objetivo de tornar a escrita de scripts Frida o mais simples possível.
AndBug - AndBug é um depurador voltado para a máquina virtual Dalvik da plataforma Android, destinado a engenheiros reversos e desenvolvedores.
- Identificando o processo do aplicativo usando o adb shell
  - adb shell ps | grep -i "App keyword"

Análise de Rede e Testes no Lado do Servidor

Tcpdump - Um utilitário de linha de comando para captura de pacotes.
Wireshark - Um analisador de pacotes de código aberto.
- Capturas de pacotes ao vivo em tempo real
  - adb shell "tcpdump -s 0 -w - | nc -l -p 4444"
  - adb forward tcp:4444 tcp:4444
  - nc localhost 4444 | sudo wireshark -k -S -i –
Mallory - Uma ferramenta de Homem no Meio (Man in The Middle - MiTM) usada para monitorar e manipular o tráfego em dispositivos móveis e aplicativos.
Burp Suite - Burp Suite é uma plataforma integrada para realizar testes de segurança em aplicativos.
- Instalando a CA confiável no nível do sistema operacional Android (dispositivo com root/emulador) para Android N+ da seguinte forma:
  - openssl x509 -inform PEM -subject_hash -in BurpCA.pem | head -1
  - cat BurpCA.pem > 9a5ba580.0
  - openssl x509 -inform PEM -text -in BurpCA.pem -out /dev/null >> 9a5ba580.0
  - adb root

Contornando a Detecção de Root e o SSL Pinning

Magisk - O Magisk fornece acesso root ao seu dispositivo, capacidade de modificar partições somente leitura instalando módulos e de ocultar o Magisk de detecções de root/verificações de integridade do sistema.
Xposed Module: Just Trust Me - Módulo Xposed para contornar o SSL certificate pinning.
Xposed Module: SSLUnpinning - Módulo Xposed para Android que contorna a validação de certificados SSL (Certificate Pinning).
Cydia Substrate Module: Android SSL Trust Killer - Ferramenta blackbox para contornar o SSL certificate pinning na maioria dos aplicativos em execução em um dispositivo.
Cydia Substrate Module: RootCoak Plus - Aplica patch na verificação de root para indicações de root comumente conhecidas.
Android-ssl-bypass - uma ferramenta de depuração Android que pode ser usada para contornar SSL, mesmo quando o certificate pinning está implementado, além de outras tarefas de depuração. A ferramenta roda como um console interativo.
Apk-mitm - Um aplicativo CLI que prepara automaticamente arquivos APK do Android para inspeção HTTPS
Frida CodeShare - O projeto Frida CodeShare é composto por desenvolvedores de todo o mundo trabalhando juntos com um único objetivo: levar o Frida ao seu limite de maneiras novas e inovadoras.
- Contornando a detecção de Root
  - frida --codeshare dzonerzy/fridantiroot -f YOUR_BINARY
- Contornando o SSL Pinning
  - frida --codeshare pcipolloni/universal-android-ssl-pinning-bypass-with-frida -f YOUR_BINARY

Bibliotecas de Segurança

PublicKey Pinning - No Android, o pinning pode ser implementado por meio de um X509TrustManager personalizado. O X509TrustManager deve realizar as verificações X509 habituais, além de executar a configuração de pinning.
Android Pinning - Um projeto de biblioteca independente para certificate pinning no Android.
Java AES Crypto - Uma classe Android simples para criptografar e descriptografar strings, com o objetivo de evitar os erros clássicos dos quais a maioria dessas classes sofre.
Proguard - ProGuard é um redutor, otimizador, ofuscador e pré-verificador gratuito de arquivos de classe Java. Ele detecta e remove classes, campos, métodos e atributos não utilizados.
SQL Cipher - SQLCipher é uma extensão de código aberto do SQLite que fornece criptografia AES transparente de 256 bits para arquivos de banco de dados.
Secure Preferences - Um wrapper de Shared Preferences do Android que criptografa as chaves e os valores das Shared Preferences.
Trusted Intents - Biblioteca para interações confiáveis e flexíveis entre aplicativos Android.
RootBeer - Uma saborosa biblioteca de verificação de root e um aplicativo de exemplo.
End-to-end encryption - Capillary é uma biblioteca para simplificar o envio de mensagens push criptografadas de ponta a ponta, de servidores de aplicativos baseados em Java para clientes Android.

Testes de Penetração em Aplicações iOS

Acessando o Sistema de Arquivos no iDevice

FileZilla - Ele suporta FTP, SFTP e FTPS (FTP sobre SSL/TLS).
Cyberduck - Navegador livre de FTP, SFTP, WebDAV, S3, Azure e OpenStack Swift para Mac e Windows.
itunnel - Usado para encaminhar SSH via USB.
iProxy - Permite conectar seu laptop ao iPhone para navegar na web.
iFunbox - A ferramenta de gerenciamento de arquivos e aplicativos para iPhone, iPad e iPod Touch.#### Engenharia Reversa e Análise Estática
otool - O comando otool exibe partes especificadas de arquivos de objeto ou bibliotecas.
Clutch - Descriptografa o aplicativo e despeja o bundleID especificado em um arquivo binário ou .ipa.
Dumpdecrypted - Despeja arquivos mach-o descriptografados de aplicativos iPhone criptografados, da memória para o disco. Essa ferramenta é necessária para que pesquisadores de segurança possam ver os bastidores da criptografia.
- iPod:~ root# DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Applications/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/Scan.app/Scan
class-dump - Um utilitário de linha de comando para examinar as informações de runtime do Objective-C armazenadas em arquivos Mach-O.
dsdump - Um class-dump aprimorado de nm + objc/swift.
Weak Classdump - Um script Cycript que gera um arquivo de cabeçalho para a classe passada à função. Muito útil quando você não consegue usar classdump ou dumpdecrypted, quando os binários estão criptografados, etc.
- iPod:~ root# cycript -p Skype weak_classdump.cy; cycript -p Skype

Análise Dinâmica e de Runtime

cycript - O Cycript permite que desenvolvedores explorem e modifiquem aplicativos em execução no iOS ou no Mac OS X usando uma combinação de sintaxe de Objective-C++ e JavaScript por meio de um console interativo com realce de sintaxe e complemento por tabulação.
- Mostrar o controlador de view atualmente visível
  - cy# UIApp.keyWindow.rootViewController.visibleViewController
- Mostrar o controlador de view no topo da pilha de navegação
  - cy# UIApp.keyWindow.rootViewController.topViewController
- Obter uma matriz de objetos existentes de uma determinada classe
  - cy# choose(UIViewController)
- Despejo de UI, corta muitas descrições de UIViews
  - cy# [[UIApp keyWindow] _autolayoutTrace].toString()
- Pule UIViews e nextResponders para obter os ViewControllers diretamente
  - cy# [[[UIApp keyWindow] rootViewController] _printHierarchy].toString()
- Listar método em tempo de execução
  - cy# classname.messages ou cy# function printMethods(className, isa) { var count = new new Type("I"); var classObj = (isa != undefined) ? objc_getClass(className)->isa : objc_getClass(className); var methods = class_copyMethodList(classObj, count); var methodsArray = []; for(var i = 0; i < *count; i++) { var method = methods[i]; methodsArray.push({selector:method_getName(method), implementation:method_getImplementation(method)}); } free(methods); return methodsArray; }

Análise de Rede e Testes no Lado do Servidor

Mallory - Uma ferramenta de Homem no Meio (MiTM) usada para monitorar e manipular o tráfego em dispositivos e aplicativos móveis.
Burp Suite - O Burp Suite é uma plataforma integrada para realizar testes de segurança de aplicativos.
OWASP ZAP - O OWASP Zed Attack Proxy Project é um scanner de segurança de aplicações web de código aberto. Ele é destinado a ser usado tanto por aqueles que são novos em segurança de aplicações quanto por testadores de penetração profissionais.
Charles Proxy - Proxy HTTP / monitor HTTP / proxy reverso que permite ao desenvolvedor visualizar todo o tráfego HTTP e SSL/HTTPS entre sua máquina e a Internet.

Contornando Detecção de Root e SSL Pinning

SSL Kill Switch 2 - Ferramenta blackbox para desativar a validação de certificados SSL - incluindo o pinning de certificados - em aplicativos iOS e OS X.
iOS TrustMe - Desativa as verificações de confiança de certificados em dispositivos iOS.
tsProtector - Outra ferramenta para contornar a detecção de jailbreak.
JailProtect - Além de contornar a detecção de jailbreak, também permite falsificar facilmente a versão do seu firmware iOS.
Shadow - O Shadow é um tweak para contornar a detecção de jailbreak que derrota métodos básicos de detecção usados por muitos aplicativos da App Store.
Frida CodeShare - O projeto Frida CodeShare é composto por desenvolvedores de todo o mundo trabalhando juntos com um único objetivo: levar o Frida ao seu limite de maneiras novas e inovadoras.
- Contornando o SSL Pinning
  - frida --codeshare lichao890427/ios-ssl-bypass -f YOUR_BINARY
  - frida --codeshare dki/ios10-ssl-bypass -f YOUR_BINARY

Bibliotecas de Segurança

PublicKey Pinning - O pinning no iOS é realizado por meio de um NSURLConnectionDelegate. O delegate deve implementar connection:canAuthenticateAgainstProtectionSpace: e connection:didReceiveAuthenticationChallenge:. Dentro de connection:didReceiveAuthenticationChallenge:, o delegate deve chamar SecTrustEvaluate para realizar as verificações X509 habituais.
Swiftshield - O SwiftShield é uma ferramenta que gera nomes irreversíveis e criptografados para os objetos do seu projeto iOS (incluindo seus Pods e Storyboards) para proteger seu aplicativo de ferramentas de engenharia reversa de aplicativos iOS, como class-dump e Cycript.
IOSSecuritySuite - O iOS Security Suite é uma biblioteca avançada e fácil de usar de segurança de plataforma e anti-adulteração escrita em Swift puro! Se você desenvolve para iOS e quer proteger seu aplicativo de acordo com o padrão OWASP MASVS, capítulo v8, esta biblioteca pode economizar muito do seu tempo.
OWASP iMAS - O iMAS é um projeto de pesquisa colaborativo da MITRE Corporation focado em controles de segurança iOS de código aberto.

Laboratório de Testes de Penetração Móvel

WaTF Bank - O What-a-Terrible-Failure Mobile Banking Application (WaTF-Bank), escrito em Java, Swift 4, Objective-C e Python (framework Flask) como servidor backend, é projetado para simular um aplicativo de mobile banking habilitado para web services do "mundo real" que contém mais de 30 vulnerabilidades baseadas nos Riscos do OWASP Mobile Top 10.
InsecureBankv2 - Este aplicativo Android vulnerável se chama "InsecureBankv2" e foi feito para entusiastas de segurança e desenvolvedores aprenderem sobre as inseguranças do Android testando este aplicativo vulnerável. Seu componente de servidor backend é escrito em Python.
DVIA-v2 - O Damn Vulnerable iOS App (DVIA) é um aplicativo iOS extremamente vulnerável. Seu principal objetivo é fornecer uma plataforma para entusiastas/profissionais de segurança móvel ou estudantes testarem suas habilidades de teste de penetração iOS em um ambiente legal.
DIVA Android - O DIVA (Damn insecure and vulnerable App) é um aplicativo intencionalmente projetado para ser inseguro. O objetivo do aplicativo é ensinar a desenvolvedores/QA/profissionais de segurança as falhas que geralmente estão presentes nos aplicativos devido a práticas de codificação ruins ou inseguras.
DVHMA - O Damn Vulnerable Hybrid Mobile App (DVHMA) é um aplicativo móvel híbrido (para Android) que contém vulnerabilidades intencionalmente. Seu propósito é permitir que profissionais de segurança testem suas ferramentas e técnicas legalmente, ajudar desenvolvedores a entender melhor as armadilhas comuns no desenvolvimento seguro de aplicativos móveis híbridos.
MSTG Hacking Playground - Esta é uma coleção de aplicativos móveis iOS e Android que são intencionalmente construídos de forma insegura. Esses aplicativos são usados como exemplos para demonstrar diferentes vulnerabilidades explicadas no OWASP Mobile Security Testing Guide.
UnCrackable Mobile Apps - UnCrackable Apps para Android e iOS, uma coleção de desafios de engenharia reversa móvel. Esses desafios são usados como exemplos ao longo do Mobile Security Testing Guide.
OWASP iGoat - O Goat é uma ferramenta de aprendizado para desenvolvedores iOS (iPhone, iPad, etc.) e testadores de penetração de aplicativos móveis. Foi inspirado no projeto WebGoat e tem um fluxo conceitual semelhante.

Contribuição

Suas contribuições e sugestões são bem-vindas.

Licença

Este trabalho está licenciado sob uma Licença Creative Commons Atribuição 4.0 Internacional

Mais Populares

MobileApp-Pentest-Cheatsheet