Скрипт для автоматической установки утилит для анализа мобильных приложений (Android и iOS)

Достаточно интересный проект для автоматической установки множества полезных тулов на Ubuntu Server (в виртуалке или на живом компе). Я думаю, что и для Ubuntu Desktop тоже вполне себе пойдет. Либо её можно использовать, как отличный гайд по всем представленным в списке инструментам, если у вас возникла сложность с их установкой.

Специально для ленивых, кто не хочет заморачиваться сам и получить готовый список тулов или для параноиков, которые могут подергать команды для автоинстала и получить свой собственный скрипт. Ну или в крайнем случае просто убедиться, что все тулы, которые нужны стоят и обновлены.

Список инструментов, которые автоматом ставятся:
- APKTOOL (Android)
- ADB (Android)
- JADX (Android)
- ByteCode-Viewer (Android)
- Drozer (Android)
- Hopper (Android and i0S)
- Burp/ZAP (Traffic Inspection)
- Frida and Frida-Tools (Android and i0S)
- Frida Android Tracer (Android)
- Android Backup Extractor (Android)
- PIDCAT (Android)
- MobSF (Android and i0S)
- AndroBugs Framework (Android)
- QARK Framework (Android)
- RMS, Dexcalibur and Passionfruit (Android and i0S)
- Radare2 and R2Frida (Android and i0S)
- MARA Framework (Android)
- APKiD (Android)
- Simplify (Android)
- iProxy and iDeviceInstaller (i0S)
- Frida-IOS-Dump (i0S)
- GrapeFruit (i0S)
- Objection (Android and i0S)
- Tools on iDevice (i0S)
- GuiScrcpy (Android and i0S)

#tools #Android #ios

​​Security проверки для релизных сборок

@dtereshin написал очень удобную и крутую штуку для проверки релизных сборок перед выкладкой в магазины приложений. И назвал её CheckKarlMarx (все совпадения случайны). Доступна как в виде исходного кода, так и докер-образа.

Что умеет сейчас и как работает:
- принимает на вход apk или ipa файл релизной сборки
- проверет некорректные настройки сети
- небезопасные (http), тестовые или внутренние URL (список задается при запуске)
- хранение различных ключей
- экспортируемые компоненты для Android-приложений
- небезопасные настройки Webview для Android приложений

На выходе получаем отчет с находками, его можно положить в ваш CI/CD инструмент рядом с другими линтерами и статус сканирования (exit code), на основе которого можно строить дальнейшие действия).

Просто, удобно и позволяет быстро определить, что в релиз приехало что-то не то)

Кстати, в том числе про этот инструмент будет доклад от автора на ZeroNights. Я точно приду послушать, все предыдущие выступления были отличными, думаю это тоже порадует.

Ну и отдельный лайк от меня за ник на GitHub 😂

#tools #android #ios

Реверс приложений на Flutter

Несколько раз за последнее время в различных чатах всплывал вопрос про анализ приложений на Flutter, как к ним подступиться, как анализировать?

И там же всплыла очень интересная ссылка на инструмент по реверсу Flutter-приложений под названием reFlutter.

Из описания:
Этот фреймворк помогает при реверсе Flutter приложений благодаря пропатченной версии библиотеки Flutter, которая скомпилирована и готова к переупаковке приложения. В этой библиотеке изменен процесс десериализации, для более удобного динамического анализа.

Поддерживает iOS и Android и умеет перехватыватывать трафик приложения и перенаправлять его на прокси без необходимости ставить сертификаты и рутовать устройство. По словам создателя он автоматически умеет снимать некоторые виды Certificate Pinning, который используется во Flutter. Как мне кажется, только ради этого можно его попробовать 😁

Я сам пока не добрался до него, так как не было подходящего случая, но, думаю что в скором поюзаю) Ну и если у вас есть опыт использования - напшите, как этот фреймворк показывает себя в деле)

#tools #flutter #reverse #pinning

CTF под Android в Google Play со скорбордом и печеньками

Очень странно, что я не видел этих ребят раньше, мне казалось, что уже про них рассказывал, но тем не менее, весьма интересный и развивающийся проект - hpAndro!

Представляет из себя CTF для Android, написанный на котлин. На сайте доступен сеорборд и есть все шансы туда попасть 😎

Ну и в целом, всегда приятно немного поиграть, если есть время и силы :) в процессе можно попробовать новые инструменты и, если есть уже прохождение, попробовать найти другой способ получения флага!

Всем удачной игры и поиска багов!

P.S. У ребят ещё есть отличный канал на YouTube, где много разных видео, начиная с прохождения их CTF, заканчивая обзором разных инструментов, оч классно!

#android #ctf #tools

Анализ Xamarin-приложений.

Хотя я и очень не люблю кроссплатформенные приложения, но приходится весьма часто иметь с ними дело.

В последнее время, это конечно все больше Flutter, но встречаются еще и на других платформах.

Одна из таких платформ - это Xamarin. В статье очень здорово описана сама технология, есть описание структуры и архитектуры таких приложений, а также перечислены различные инструменты и техники по анализу подобных приложений.

Если вы никогда не сталкивались с подобным и вот нужно что-то проанализировать, эта статья отличная отправная точка для этого.

Кстати, в соседнем чате от @OxFi5t тоже есть очень классный совет по Xamarin-приложениям, переходите, читайте обязательно :)

#xamarin #reverse #tools

Интересный инструмент для изменения ресурсов

Интересный инструмент APKEditor, никогда с ним ранее не сталкивался. Хорошо умеет изменять ресурсы внутри APK, собирать из нескольких split один standalone и прикольная штука с защитой ресурсов от дальнейшей модификации.

Инструмент активно дорабатывается и коммиты еще идут (23 апреля, 1 мая, 11 мая), так что есть надежда, что инструмент еще поживет какое-то время, а может даже будет развиваться!

В любом случае, может быть полезным, если нужно что-то быстренько поправить только в ресурсах.

Если кто-то его использует, отпишитесь, как оно, пожалуйста?

#android #smali #APK #tools