​​Отличная серия из трёх статей про баги в различных мессенджерах через уязвимость в протоколе WebRTC.

Признаться, я не знал о существовании этого протокола, пока не прочитал эти статьи 🙈

Подвержены уязвимости были очень многие популярные приложения и поэтому читать об успешной эксплуатации ещё интереснее 😁

#Android #Vulnerability #WebRTC

​​Давно хотел почитать и изучить способ "клонирования" одного и того же приложения на Android устройстве. В Xiaomi это встроенный функционал, но есть разные пути, как это можно сделать, например: VirtualApp, DualSpace, ParallelSpace и т.д.

Обязательно должно быть в этом механизме что-то, что позволит обойти защиту Android и получить доступ к данным "исходного" приложения, просто не может всё гладко пройти 😁

И как раз в данной статье описывается, какие особенности при "клонировании" есть и как это может повлиять на безопасность.

Основной момент, при клонировании, UID в системе остаётся тем же, что и у оригинального приложения. А это значит, что все механизмы безопасности, основанные на этом идентификаторе можно обойти!

Как пример, в статье описывается работа с ключами шифрования и как их можно достать используя склонированное приложение (кстати, вначале неплохой кусок теории по разным провайдерам в Java и Android). По идее, помимо ключей шифрования, можно и к файлам оригинального приложения доступ получить! 🤓

Как вариант защиты - определять, что ты находишься в виртуальном окружении, которое создают программы "копировальщики". Автор даже либу написал для этого.

Это только первая статья из цикла, должно быть продолжение, которое я с удовольствием почитаю)

#Android #Clone #Vulnerability #Apps

Люблю читать про анализ различных популярных приложений. В таких статьях можно почерпнуть много интересной информации, начиная с того, как анализировать приложения, заканчивая тем, что можно улучшить в защите своих разработок и рекомендаций. А может, мне просто нравится считать, что не я один такой и допускаю ошибки 😄

В этот раз статья про TikTok, в целом ничего криминального в ней нет (пока что), но автор обещает продолжение, да и читается легко. С его стилем повествования, было бы приятно почитать, что будет дальше. Кстати, если заглянуть в его статьи, можно найти еще много интересного материала. 🤓

#Android #Research #TikTok #Apps

​​Любителям хардкора посвящается 😄

Последнее время находят достаточно много уязвимостей в iOS, и всё чаще это приводит к рабочим эксплойтам и появлению новых версий Jailbreak. Расскажу сразу про несколько вещей, возможно кому-то будет интересно посмотреть)

Первая статья рассказывает о новой технике эксплуатации для ядра iOS, которое позволяет превратить контролируемое однобайтовое переполнение кучи сразу в операцию чтения/записи для произвольного физического адреса. При этом, текщие меры защиты в этом случае не работают.

Фреймворк, направленный на упрощение работы и поиска уязвимостей в кэше ядра при помощи инструмента Ghidra. Readme в репозитории объясняет как развернуть всё необходимое для начала работы и исследования Kernecache. Framework написан на Python и предоставляет все API, которые так же можно переиспользовать в своих проектах (примеры использования в каталоге utils).

Для меня это конечно, очень серьезный уровень, но читать про такие сложные вещи всегда интересно (с мыслями, вот люди что могут 😱)

Касательно TikTok, оказывается, что данные, которые передавались зашифрованными содержали большое количество информации об устройстве, в том числе и MAC-адреса. В совокупности все эти данные позволяют отслеживать пользователей и нарушают ряд законов США.

А я думал, откуда ноги растут у этого исследования 😄

https://yangx.top/TG_security/882

#TikTok #Analisys

Google сделал удобную страничку с security best practices по разным разделам:

- шифрование
- определение небезопасной среды выполнения
- аутентификация и биометрия
- обмен данными

плюс есть разделы по смежным темам. Выглядит неплохо.

#4developers #google

https://developer.android.com/security?linkId=97069982

​​Прохождение "Hacker101 CTF: Android Challenge"

Больше чем читать про анализ известных приложений мне нравятся разные writeup по прохождению CTF, особенно мобильных.

Как раз такая большая статья по обзору Android CTF от обучающей площадки HackerOne, вышла совсем недавно!

В CTF иногда бывают оторванные от реальности задания и бредовые пути решения, но это скорее исключение. А так, шанс проверить свои силы, повеселиться и применить смекалку! А может и найти новые для себя техники анализа.

Участвовать получается далеко не всегда, но проанализировать прохождение и сделать заметки - это всегда полезно 🤓

#Android #CTF #HackerOne #Hacker101CTF

​​Внедрение кода в iOS Simulator

Интересная статья про способ внедрения произвольного кода в iOS Simulator через функциональность "плагинов" (хотя официально такого понятия для Xcode не существует).

На практике это выглядит, как подгрузка динамической библиотеки в один из процессов macOS (а по факту в процесс iOS, так как все процессы внутри симулятора доступны с корневой системы).

Подробный гайд с многочисленными отсылками к более глубоким и детальным статьям по используемым в процессе работы инструментам.

Интересно, можно ли так же внедрить Frida в системный процесс? 🤔 Может когда-нибудь нам и не нужен будет iPhone, чтобы тестировать приложения, а достаточно будет запустить симулятор/эмулятор?))

#iOS #Simulator #Hack #Inject

​​Самые ужасные приложения или как поднять себе настроение

Веселые доклады это всегда отлично, особенно на конференциях по безопасности 😁 Интересно послушать, как приложения для умных чайников рассылают броадкастом SSID/пароль в открытом виде (долго искал этот доклад Ивана Новикова, но это того стоит) и как взломать себя с помощью self-xss 😄

Так и на DEFCON 2020 был зажигательный доклад про самые "защищённые" мобильные приложения.

Рекомендую к просмотру для понимания того, как не надо делать и для поднятия настроения!

#Fun #Vulnerability #DEFCON

​​Firebase Cloud Messaging - как отправить push миллиарду пользователей

Во время анализа приложений мы постоянно находим различные токены от сервисов аналитики, а иногда и от нескольких, разных сервисов геолокации, карт и многих других, не сильно критичных (вроде) 😄

После этой статьи я стану намного пристальнее на них смотреть и на те возможности, что они дают. И обязательно добавлю такую проверку в анализ.

Если кратко - багхантер практически с помощью одного grep, детального изучения документации и функционала сервисов FCM получил возможность отправить любое push-сообщение от имени уязвимого приложения. А в их числе оказались и гугловские сервисы (Google music, Youtube Music и т.д.),то есть миллиарды пользователей 😱

В статье подробно описан процесс анализа, изучения сервиса FCM, есть алгоритм, как искать и проверять валидность таких ключей (что с их помощью действительно можно отправить push), как сделать PoC и как митигировать подобные риски.

И спасибо автору за ссылки на материалы, статьи и утилиты, которые он использовал при анализе. Помимо нескольких интересных вещей по мобильным приложениям, есть и на что посмотреть в части прикладных инструментов.

Советую прямо сегодня посмотреть ваши мобильные приложения на наличия ключей FCM и проверить, валидны ли они для отправки произвольных пушей.

Потрясная статья, конечно 😁

#Android #BugBounty #Research #FCM

​​На Github есть ряд репозиториев, которые собирают ссылки на полезные материалы по определенной тематике. Такие репозитории заканчиваются или начинаются словом "awesome". Если репозиторий поддерживается, то это очень удобный способ следить за новыми тулами/исследованиями, да и в целом информация собранная в одном месте это всегда отлично.

Я нашел несколько таких репозиториев по мобильной безопасности и некоторые из них выглядят очень вкусно:

android-security-awesome / последний коммит 22 дня назад - сборник материалов по Android, включает в себя список инструментов со ссылками на гитхаб или сайт (разделение на онлайн анализаторы, SAST, DAST, Reverse, Fuzz Testing), загрузчики приложений из Google Play, книги, статьи, список эксплойтов;

awesome-mobile-security / последний коммит сегодня - в целом аналогичный набор, но намного больше обучающего материала: книги, курсы, выступления, задания

awesome-mobile-CTF / последний коммит 19 Мая - список мобильных CTF, write-ups (прохождений) и уязвимых мобильных приложений. Отличный ресурс, если вы любите играть/читать про CTF или иногда проводите подобные мероприятия внутри компании - тут есть на что посмотреть :)

osx-and-ios-security-awesome / последний коммит 28 дней назад - неплохая подборка инструментов для iOS/MacOS (правда больше для MacOS)


На самом деле таких репозиториев много (и не только для мобильных приложений), найти их можно через такой поиск по Github. Удобно, что из названия можно сразу понять, интересна тебе эта тема или нет)

# Android #iOS #GitHub #Awesome

​​Уязвимости в "Find My Mobile": удаленный сброс и блокировка телефонов Samsung

Интересные новости для владельцев Samsung. Если вы ещё не обновили приложение "Find My Mobile", самое время это сделать (наверное).

Группа исследователей опубликовала очень интересный ресерч, посвященный ряду уязвимостей в приложении Find My Mobile. Целью этого приложения является удаленное управление устройством, если вы его потеряли (блокировка с произвольным сообщением, определение местоположения телефона, удаление всех данных и т.д.).

Благодаря ряду найденных уязвимостей (надо сказать что они достаточно "детские") злоумышленник мог получить доступ ко всем функциям этого сервиса. Как это обычно бывает, по одиночке уязвимости не представляют большой опасности (кроме раскрытия данных), но все вместе выстроились в замечательную эксплуатируемую атаку 😁

Ссылка на техническое описание всех найденных уязвимостей, их эксплуатация и подробности можно найти здесь.

Несмотря на то, что открыть детали решились только через год, проверьте на всякий случай, что на телефоне стоит последняя версия 😏

Конечно, если вы не против рассылать свой MAC-адрес Bluetooth-адаптера броадкостом в эфир. Да, именно так, в последней версии приложения появилась отличная опция по определению местоположения вашего устройства, даже если у него нет доступа к сети. Процесс простой - приложение с определенной периодичностью отправляет широковещательный запрос в Bluetooth эфир... И если рядом есть другой Samsung, он сможет помочь найти ваш телефон.

Интересно, можно ли что-то сделать, зная эту инфу? Ну кроме того, чтобы постоянно трекать перемещение пользователя? 🤔

В общем, спасибо Samsung, уязвимости исправили, но что-то сомнительное добавили :) Выбираем из двух зол наименьшее..

#Samsung #Android #Vulnerabilities #Research #Bluetooth

​​Некоторое время назад была занимательная статья, как направить трафик с iOS и Android устройств, используя VPN клиента на телефоне и локальный сервер.

Но некоторые пошли дальше и нашли классный способ перенаправлять трафик на свой прокси. Тут так же используется API, который предоставляет Android для реализации VPN, но интерес в том, что этому "клиенту" не нужен сервер 😁 Приложение прикидывается клиентом VPN, трафик идёт через него, а он провайдит его дальше в интернет или на прокси 😎

Интересное решение, на мой взгляд. Ссылка на репо:
https://github.com/httptoolkit/httptoolkit-android

#Android #VPN #Network

​​Прохождение CTF - как выиграть в игру за один клик

Очень здорово, когда CTF-задачки представляют собой не просто приложение с двумя-тремя стандартными экранами, а полноценное приложение, которое нужно проанализировать не только с помощью инструментов, но и применив немного логики. 🤓

Особенно здорово, когда такие приложения заставляют немного поностальгировать. В детстве была такая игра "Bomber Man", где нужно было расставлять бомбы и убегать от монстров. Примерно в таком же стиле сделан и этот CTF.

В статье о решении нет чего-то прям нового, но хорошо описан процесс, как автор искал нужные места в коде, как их модифицировал и какие инструменты использовал. Также есть несколько интересных отсылок к статье про инструменты для анализа и арсенал для анализа Android.

P.S. Ссылка на основную статью при переходе с компа почему-то требует регистрации, но с телефона все открывается нормально.

#Android #CTF #Challenge #Retro #Bomberman

Кстати, любителям порешать такие задачки.

Была одно время очень популярна игра "Flappy Bird", где птичкой нужно было пролетать между препятствиями. У этой игры было множество клонов и одной из таких копий игра "Clumsy Bird" (apk прикреплен к посту).

Если интересно и хотите попробовать свои силы - наберите в этой игре 999 очков не прикасаясь к экрану 😄

Сделать это достаточно просто, а вид птички пролетающей насквозь деревья выглядит очень забавно))

#CTF #ClumsyBird #Challenge

​​Уязвимость в сафари. Поделись с друзьями не только картинкой, но и своими файлами

Интересная баго-фича в Safari с использованием Web Share API для обмена различным контентом.

Суть уязвимости заключается в возможности прикрепления локальных файлов через схему file:// к сообщению при использовании функционала "поделиться с друзьями".

Но самое интересное, что разные приложения ведут себя по разному с прикрепленным файлом и иногда изменяют его имя на произвольное, так что догадаться, что ты отправляешь не котика, а свою историю браузера, может быть нетривиально. Да ещё если использовать много символов переноса строки "\n" то прикрепленный файл уезжает за пределы экрана и его не видно 🙈

Конечно, этот метод требует взаимодействия с пользователем и элементы соц.инженерии, но все равно познавательно. 🤓

И конечно, смущает политика Apple последних лет по общению с багхантерами и скоростью исправления уязвимостей. Обнаруженные баги могут жить годами, пока Apple их не пофиксит. И при этом запрещает исследователям раскрывать детали. Так и живём, ни фиксов, ни деталей :(

#iOS #Safari #Vulnerability

​​Опасная уязвимость в Google Play Core Library

Нередко приложения могут быть уязвимы не из-за того, что кто-то допустил ошибку в коде или что-то не учёл при разработке, а совсем по другим причинам. Одной из них могут быть уязвимые open-source библиотеки, которые мы используем при разработке. Даже если на момент подключения новой библиотеки она была безопасна, нет никакой гарантии, что завтра в ней не обнаружат какой-то адский баг 👹

Поддерживать версии используемых бибилиотек в актуальном состоянии - это очень важная задача. В процессе безопасной разработки даже есть отдельная практика для этого - SCA (Software Composition Analisys). И конечно, есть достаточное количество инструментов, которые позволяют это сделать, от бесплатных до энтерпрайз решений.

Это все к тому, что вчера вышел отчет о найденной уязвимости в библиотеке Google Play Core Library, которая довольно часто используется при разработке. Суть уязвимости заключается в возможности выполнения произвольного кода в контексте приложения, которое использует данную библиотеку.😱
В качестве PoC было выбрано приложение Google Chrome, которое в результате эксплуатирования уязвимости выполняло команду "chmod -R 777 /data/user/0/com.android.chrome", то есть, давало право чтения и записи любому приложению в директорию хрома. С помощью данной уязвимости можно производить любые операции с файлами на устройстве, копировать, отсылать на свой сервер, изменять и в целом все, что угодно)

Согласно присвоенной CVE уязвимы все версии Android's Play Core Library до версии 1.7.2. Так что настоятельно рекомендую обновиться как минимум до этой версии, если вы этого еще не сделали. Согласно Release Notes версия, исправляющая данную уязвимость вышла в марте, а текущая актуальная - 1.8.1

#Android #GooglePlay #Vulnerability #Exploit #PoC

​​Ещё один увлекательный Android CTF

Продолжая тему CTF, почему-то последнее время встречается много новых и интересных CTF под мобилы.

В этом уязвимом приложении как минимум 15 флагов! Начиная от зашитых исходников, взаимодействия с компонентами приложения, поиска в AWS, до XSS 😁


Хорошо написанное приложение с интересными задачами для всех,кто любит порешать всякое :)

#CTF #Android

Построение diff между версиями
Есть такая интересная практика - когда выходит обновление, закрывающее критическую уязвимость в софте проводить diff между версиями и смотреть, что именно было исправлено и как эту уязвимость эксплуатировать в прошлой версии 😃

В случае с анализом приложений, независимо от того на какой стороне баррикад вы находитесь - это тоже может быть очень полезно!

Тем более в соседнем канале Android Guards Today выложили замечательный референс на удобный инструмент, который позволяет в одну команду провести diff между версиями приложений!

https://yangx.top/android_guards_today/54

Больше CTF под Android
Очень здорово, когда разных CrackMe становится больше, они все различаются и каждый из них может чему-то научить.

Подписчик канала прислал свою разработку в этой сфере - CTF приложение специально разработанное для обучения, с подсказками и системой проверки флагов. Спасибо большое @AndroidDevSec, буду проходить на выходных. 😉

Последнее время очень много информации именно по CTF, думаю собрать все ссылки в один пост или сделать репо на гитхаб, чтобы не потерять в истории. Ну и тоже самое сделать с книгами и курсами, давно пора бы.

#CTF #Android #CrackMe

​​Уязвимости в нескольких популярных приложениях

Сейчас почему-то очень активно обсуждается статья про уязвимости в мобильном приложении для генерации кодов 2FA.

Название громкое, в тексте упоминаются фразы 0-day, public disclosure и прочие страшные вещи. Но смотря на список найденных уязвимостей, остаётся ощущение, что ничего не нашли, но написать что-то нужно.. Такие "баги" у нас обычно попадают в категорию "для информации" (ну может авто-копирование в буфер можно выделить).

А вот другая статья про XSS в клиенте Outlook намного интереснее! Про то, как простая на первый взгляд функция для преобразования телефонного номера в ссылку позволяла выполнить любой JS код! 😁

#Vulnerabilities #Research