Шпаргалка по пентесту мобильных приложений

Шпаргалка по пентесту мобильных приложений создана для предоставления краткого сборника ценной информации по конкретным темам тестирования мобильных приложений на проникновение, а также чек-листа, сопоставленного с OWASP Mobile Risk Top 10 для проведения пентеста.

Дистрибутивы для тестирования безопасности мобильных приложений
Универсальные фреймворки мобильной безопасности
Пентест Android-приложений
Пентест iOS-приложений
Лаборатория для пентеста мобильных приложений
Вклад
Лицензия

Дистрибутивы для тестирования безопасности мобильных приложений

Appie - Портативный программный пакет для пентеста Android и отличная альтернатива существующим виртуальным машинам.
Android Tamer - Android Tamer - виртуальная / Live-платформа для специалистов по безопасности Android.
Androl4b - Виртуальная машина для оценки Android-приложений, обратной разработки и анализа вредоносных программ.
Vezir Project - Среда для пентеста мобильных приложений и анализа вредоносных программ.
Mobexler - Mobexler - настраиваемая виртуальная машина, предназначенная для помощи в тестировании на проникновение Android- и iOS-приложений.

Универсальные фреймворки мобильной безопасности

Mobile Security Framework - MobSF - Mobile Security Framework - интеллектуальный универсальный фреймворк с открытым исходным кодом для автоматизированного пентеста мобильных приложений (Android/iOS), способный выполнять статический и динамический анализ.
- python manage.py runserver 127.0.0.1:1337
Needle - Needle - модульный фреймворк с открытым исходным кодом, который оптимизирует процесс проведения оценки безопасности iOS-приложений, включая анализ бинарного кода, статический анализ кода, манипуляции во время выполнения с помощью Cycript и хуков Frida и т. д.
Objection - Objection - набор инструментов для исследования мобильных приложений во время выполнения на базе Frida. Он создан с целью помочь в оценке мобильных приложений и их уровня безопасности без необходимости джейлбрейка или root-доступа на мобильном устройстве.
RMS-Runtime-Mobile-Security - Runtime Mobile Security (RMS) на базе FRIDA - мощный веб-интерфейс, который помогает манипулировать Android- и iOS-приложениями во время выполнения.

Пентест Android-приложений

Обратная разработка и статический анализ

APKTool - Инструмент для обратной разработки сторонних закрытых бинарных Android-приложений. Он может декодировать ресурсы почти до исходного вида и пересобирать их после внесения некоторых изменений.
- Декомпиляция Android apk-файла
  - apktool d <apk file>
- Пересборка декодированных ресурсов обратно в бинарный APK/JAR с подписыванием сертификатом
  - apktool b <modified folder>
  - keytool -genkey -v -keystore keys/test.keystore -alias Test -keyalg RSA -keysize 1024 -sigalg SHA1withRSA -validity 10000
  - jarsigner -keystore keys/test.keystore dist/test.apk -sigalg SHA1withRSA -digestalg SHA1 Test
Bytecode Viewer - Bytecode Viewer - продвинутый лёгкий просмотрщик Java-байткода, полностью написанный на Java и распространяемый с открытым исходным кодом.
Jadx - Декомпилятор Dex в Java: инструменты с командной строкой и графическим интерфейсом для получения Java-исходного кода из Android Dex и Apk файлов.
APK Studio - Кроссплатформенная IDE с открытым исходным кодом на основе Qt для обратной разработки пакетов Android-приложений.
Oat2dex - Инструмент для преобразования .oat файла в .dex файлы.
- Деоптимизация загрузочных классов (результат будет в папках "odex" и "dex")
  - java -jar oat2dex.jar boot <boot.oat file>

Динамический анализ и анализ во время выполнения

Cydia Substrate - Cydia Substrate для Android позволяет разработчикам вносить изменения в существующее ПО с помощью расширений Substrate, которые внедряются в память целевого процесса.
Xposed Framework - Фреймворк Xposed позволяет изменять вид и поведение системы или приложения во время выполнения без модификации пакета Android-приложения (APK) или перепрошивки.
PID Cat - Обновление отличного цветного скрипта logcat от Джеффа Шарки, который показывает только записи логов процессов из конкретного пакета приложения.
Inspeckage - Inspeckage - инструмент, разработанный для динамического анализа Android-приложений. Применяя хуки к функциям Android API, Inspeckage поможет вам понять, что Android-приложение делает во время выполнения.
Frida - Инструментарий работает по модели клиент-сервер и позволяет внедряться в запущенные процессы не только на Android, но также на iOS, Windows и Mac.
Diff-GUI - Веб-фреймворк для инструментирования с доступными модулями, хуками на нативные функции и внедрением JavaScript с помощью Frida.
Fridump - Fridump использует фреймворк Frida для дампа доступных адресов памяти на любой поддерживаемой платформе. Его можно использовать из Windows, Linux или Mac OS X для дампа памяти iOS-, Android- или Windows-приложения.
House - Набор инструментов для анализа мобильных приложений во время выполнения с веб-интерфейсом на базе Frida, предназначенный для оценки мобильных приложений путём динамического хукинга и перехвата функций и призванный сделать написание скриптов Frida максимально простым.
AndBug - AndBug - отладчик, нацеленный на Dalvik-виртуальную машину платформы Android и предназначенный для специалистов по обратной разработке и разработчиков.
- Определение процесса приложения с помощью adb shell
  - adb shell ps | grep -i "App keyword"
- Подключение к приложению с помощью AndBug для определения загруженных классов

Анализ сети и тестирование на стороне сервера

Tcpdump - Утилита захвата пакетов с интерфейсом командной строки.
Wireshark - Анализатор пакетов с открытым исходным кодом.
- Захват пакетов в реальном времени
  - adb shell "tcpdump -s 0 -w - | nc -l -p 4444"
  - adb forward tcp:4444 tcp:4444
  - nc localhost 4444 | sudo wireshark -k -S -i –
Mallory - Инструмент типа «человек посередине» (MiTM), используемый для мониторинга и манипуляции трафиком мобильных устройств и приложений.
Burp Suite - Burp Suite - интегрированная платформа для проведения тестирования безопасности приложений.
- Установка доверенного CA на уровне ОС Android (root-устройство/эмулятор) для Android N+ следующим образом:
  - openssl x509 -inform PEM -subject_hash -in BurpCA.pem | head -1
  - cat BurpCA.pem > 9a5ba580.0
  - openssl x509 -inform PEM -text -in BurpCA.pem -out /dev/null >> 9a5ba580.0
  - adb root
  - abd remount

Обход обнаружения root и SSL Pinning

Magisk - Пакеты Magisk предоставляют root-доступ к вашему устройству, возможность изменять разделы, доступные только для чтения, с помощью установки модулей и скрывать Magisk от обнаружения root/проверок целостности системы.
Xposed Module: Just Trust Me - Xposed-модуль для обхода SSL certificate pinning.
Xposed Module: SSLUnpinning - Xposed-модуль для Android, позволяющий обходить проверку SSL-сертификатов (Certificate Pinning).
Cydia Substrate Module: Android SSL Trust Killer - Blackbox-инструмент для обхода SSL certificate pinning в большинстве приложений, работающих на устройстве.
Cydia Substrate Module: RootCoak Plus - Патчит проверки root по общеизвестным признакам наличия root.
Android-ssl-bypass - Инструмент отладки Android, который можно использовать для обхода SSL, даже когда реализован certificate pinning, а также для других задач отладки. Инструмент работает как интерактивная консоль.
Apk-mitm - CLI-приложение, которое автоматически подготавливает Android APK-файлы для проверки HTTPS
Frida CodeShare - Проект Frida CodeShare объединяет разработчиков со всего мира, работающих вместе над одной целью - расширять возможности Frida новыми и инновационными способами.
- Обход обнаружения root
  - frida --codeshare dzonerzy/fridantiroot -f YOUR_BINARY
- Обход SSL Pinning
  - frida --codeshare pcipolloni/universal-android-ssl-pinning-bypass-with-frida -f YOUR_BINARY

Библиотеки безопасности

PublicKey Pinning - Pinning в Android может быть реализован с помощью пользовательского X509TrustManager. X509TrustManager должен выполнять стандартные проверки X509 в дополнение к настройке pinning.
Android Pinning - Автономный библиотечный проект для certificate pinning на Android.
Java AES Crypto - Простой класс Android для шифрования и дешифрования строк, созданный с целью избежать классических ошибок, от которых страдает большинство подобных классов.
Proguard - ProGuard - бесплатный инструмент для сжатия, оптимизации, обфускации и преверификации Java-классов. Он обнаруживает и удаляет неиспользуемые классы, поля, методы и атрибуты.
SQL Cipher - SQLCipher - расширение SQLite с открытым исходным кодом, обеспечивающее прозрачное 256-битное AES-шифрование файлов баз данных.
Secure Preferences - Обёртка над Android Shared Preferences, которая шифрует ключи и значения Shared Preferences.
Trusted Intents - Библиотека для гибкого доверенного взаимодействия между Android-приложениями.
RootBeer - Отличная библиотека для проверки root и пример приложения.
End-to-end encryption - Capillary - библиотека для упрощения отправки push-сообщений со сквозным шифрованием (end-to-end) с серверов приложений на Java к Android-клиентам.

Пентест iOS-приложений

Доступ к файловой системе на iDevice

FileZilla - Поддерживает FTP, SFTP и FTPS (FTP поверх SSL/TLS).
Cyberduck - Свободный (Libre) браузер FTP, SFTP, WebDAV, S3, Azure и OpenStack Swift для Mac и Windows.
itunnel - Используется для проброса SSH через USB.
iProxy - Позволяет подключить ноутбук к iPhone для выхода в интернет.
iFunbox - Инструмент управления файлами и приложениями для iPhone, iPad и iPod Touch.#### Обратная разработка и статический анализ
otool - Команда otool отображает указанные части объектных файлов или библиотек.
Clutch - Расшифровывает приложение и выгружает указанный bundleID в бинарный файл или файл .ipa.
Dumpdecrypted - Сохраняет расшифрованные mach-o файлы из зашифрованных iPhone-приложений из памяти на диск. Этот инструмент необходим исследователям безопасности, чтобы иметь возможность заглянуть под капот шифрования.
- iPod:~ root# DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Applications/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/Scan.app/Scan
class-dump - Утилита командной строки для изучения информации о времени выполнения Objective-C, хранящейся в файлах Mach-O.
dsdump - Улучшенный nm + objc/swift class-dump.
Weak Classdump - Скрипт Cycript, который генерирует заголовочный файл для класса, переданного в функцию. Наиболее полезен, когда вы не можете использовать classdump или dumpdecrypted, когда бинарные файлы зашифрованы и т.д.
- iPod:~ root# cycript -p Skype weak_classdump.cy; cycript -p Skype

Динамический анализ и анализ во время выполнения

cycript - Cycript позволяет разработчикам исследовать и изменять запущенные приложения на iOS или Mac OS X, используя гибрид синтаксиса Objective-C++ и JavaScript через интерактивную консоль с подсветкой синтаксиса и автодополнением по табуляции.
- Показать текущий видимый view controller
  - cy# UIApp.keyWindow.rootViewController.visibleViewController
- Показать view controller в верхней части стека навигации
  - cy# UIApp.keyWindow.rootViewController.topViewController
- Получить массив существующих объектов определённого класса
  - cy# choose(UIViewController)
- UI Dump, обрезает множество описаний UIView
  - cy# [[UIApp keyWindow] _autolayoutTrace].toString()
- Пропускает UIView и nextResponders, чтобы получить ViewController напрямую
  - cy# [[[UIApp keyWindow] rootViewController] _printHierarchy].toString()
- Список методов во время выполнения
  - cy# classname.messages или cy# function printMethods(className, isa) { var count = new new Type("I"); var classObj = (isa != undefined) ? objc_getClass(className)->isa : objc_getClass(className); var methods = class_copyMethodList(classObj, count); var methodsArray = []; for(var i = 0; i < *count; i++) { var method = methods[i]; methodsArray.push({selector:method_getName(method), implementation:method_getImplementation(method)}); } free(methods); return methodsArray; }

Сетевой анализ и тестирование на стороне сервера

Mallory - Инструмент Man in The Middle (MiTM), который используется для мониторинга и манипулирования трафиком на мобильных устройствах и в приложениях.
Burp Suite - Burp Suite — это интегрированная платформа для проведения тестирования безопасности приложений.
OWASP ZAP - OWASP Zed Attack Proxy Project — это сканер безопасности веб-приложений с открытым исходным кодом. Он предназначен для использования как новичками в безопасности приложений, так и профессиональными тестировщиками на проникновение.
Charles Proxy - HTTP-прокси / HTTP-монитор / обратный прокси, который позволяет разработчику просматривать весь HTTP и SSL/HTTPS трафик между его машиной и Интернетом.

Обход обнаружения root и SSL Pinning

SSL Kill Switch 2 - Инструмент blackbox для отключения проверки SSL-сертификатов — включая закрепление сертификатов (certificate pinning) — в приложениях iOS и OS X.
iOS TrustMe - Отключает проверки доверия к сертификатам на iOS-устройствах.
tsProtector - Ещё один инструмент для обхода обнаружения джейлбрейка.
JailProtect - Помимо обхода обнаружения джейлбрейка, он также позволяет легко подделывать версию прошивки iOS.
Shadow - Shadow — это твик для обхода обнаружения джейлбрейка, который побеждает базовые методы обнаружения, используемые многими приложениями App Store.
Frida CodeShare - Проект Frida CodeShare объединяет разработчиков со всего мира, работающих вместе над одной целью — расширить возможности Frida до предела новыми и инновационными способами.
- Обход SSL Pinning
  - frida --codeshare lichao890427/ios-ssl-bypass -f YOUR_BINARY
  - frida --codeshare dki/ios10-ssl-bypass -f YOUR_BINARY

Библиотеки безопасности

PublicKey Pinning - Пиннинг в iOS выполняется через NSURLConnectionDelegate. Делегат должен реализовать connection:canAuthenticateAgainstProtectionSpace: и connection:didReceiveAuthenticationChallenge:. Внутри connection:didReceiveAuthenticationChallenge: делегат должен вызвать SecTrustEvaluate для выполнения стандартных проверок X509.
Swiftshield - SwiftShield — это инструмент, который генерирует необратимые зашифрованные имена для объектов вашего iOS-проекта (включая ваши Pods и Storyboards), чтобы защитить ваше приложение от инструментов обратной разработки iOS-приложений, таких как class-dump и Cycript.
IOSSecuritySuite - iOS Security Suite — это продвинутая и простая в использовании библиотека безопасности платформы и защиты от несанкционированного вмешательства, написанная на чистом Swift! Если вы разрабатываете для iOS и хотите защитить своё приложение в соответствии со стандартом OWASP MASVS, глава v8, то эта библиотека может сэкономить вам много времени.
OWASP iMAS - iMAS — это совместный исследовательский проект корпорации MITRE, сосредоточенный на открытых средствах контроля безопасности iOS.

Лаборатория тестирования мобильных приложений на проникновение

WaTF Bank - What-a-Terrible-Failure Mobile Banking Application (WaTF-Bank), написанное на Java, Swift 4, Objective-C и Python (фреймворк Flask) в качестве серверной части, предназначено для имитации «реального» мобильного банковского приложения с поддержкой веб-сервисов, которое содержит более 30 уязвимостей, основанных на OWASP Mobile Top 10 Risks.
InsecureBankv2 - Это уязвимое Android-приложение называется «InsecureBankv2» и создано для энтузиастов безопасности и разработчиков, чтобы изучать небезопасность Android, тестируя это уязвимое приложение. Его серверный компонент написан на Python.
DVIA-v2 - Damn Vulnerable iOS App (DVIA) — это iOS-приложение, которое чертовски уязвимо. Его основная цель — предоставить платформу энтузиастам/профессионалам в области мобильной безопасности или студентам для проверки своих навыков тестирования iOS на проникновение в легальной среде.
DIVA Android - DIVA (Damn insecure and vulnerable App) — это приложение, специально разработанное как небезопасное. Цель приложения — обучить разработчиков/QA/специалистов по безопасности недостаткам, которые обычно присутствуют в приложениях из-за плохих или небезопасных методов написания кода.
DVHMA - Damn Vulnerable Hybrid Mobile App (DVHMA) — это гибридное мобильное приложение (для Android), которое намеренно содержит уязвимости. Его цель — позволить специалистам по безопасности легально тестировать свои инструменты и методы и помочь разработчикам лучше понять типичные ошибки при безопасной разработке гибридных мобильных приложений.
MSTG Hacking Playground - Это коллекция мобильных приложений для iOS и Android, которые намеренно созданы небезопасными. Эти приложения используются в качестве примеров для демонстрации различных уязвимостей, описанных в OWASP Mobile Security Testing Guide.
UnCrackable Mobile Apps - UnCrackable Apps для Android и iOS — коллекция задач по обратной разработке мобильных приложений. Эти задачи используются в качестве примеров в Mobile Security Testing Guide.
OWASP iGoat - Goat — это учебный инструмент для iOS-разработчиков (iPhone, iPad и т.д.) и пентестеров мобильных приложений. Он был вдохновлён проектом WebGoat и имеет схожий с ним концептуальный подход.

Вклад

Ваш вклад и предложения приветствуются.

Лицензия

Эта работа лицензирована в соответствии с Creative Commons Attribution 4.0 International License

Популярное

MobileApp-Pentest-Cheatsheet