Сложная для моего понимания, но от этого не менее интересная статья про фаззинг Android NFC.

Автор рассказывает, какие подходы н применял и объясняет некоторые вещи, которые могут помочь при написании собственных шаблонов и обвязки для различных фаззеров. Кстати, результатам такого теста стала пачка CVE, которые успешно отработали в Google.

На моей памяти, мы несколько раз использовали фаззинг нативных библиотек, но обычно это были различные обработчики изображений и медиа. Нашли много багов благодаря такому подходу и их успешно пофиксили. Мы использовали тоже классную штуку - AFL (American Fuzzy Loop). Очень удобный и мощный в кривых умелых руках фаззер.

#Android #NFC #Fuzzing #Tools

​​Процессинг изображений, их сжатие, обработка и операции с ними всегда вызывают какую-то странную боль, особенно у программистов 😄

Исключением не стал и Android, достаточное количество уязвимостей и проблем связаны именно с обработкой media (изображений, гифок, видео и т.д.). Очень показательная бага, если вы пропустили - выполнение произвольного кода при обработке изображения.

Но сейчас не о ней, а о цикле статей, касающихся уязвимостей в библиотеке Samsung, отвечающей за процессинг изображений.

Очень подробно и интересно описано. Плюс ко всему автор продолжает описывать свои приключения и выпускает продолжение))

#Android #ImageProcessing #Vulnerability #Research

Нашли тут гайд по практикам безопасного программирования на Kotlin от нашего партнера - Checkmarx!

В целом, достаточно неплохой базовый гайд, разобраны категории из OWASP Mobile Top 10 на примере уязвимого приложения Goatlin. Кстати, на нем можно потренироваться в поиске уязвимостей или проверить разные сканеры.

Можно рекомендовать к прочтению, тем, кто еще плотно не знакомился с Kotlin, ну или устроить на основе этого приложения простой CTF для разработчиков, немного его доработав.

Enjoy!

#Android #Kotlin #Guide

​​Нашёл недавно хороший разбор прохождения уязвимого приложения под iOS - Damn Vulnerable iOS Application v2.

Само приложение хорошо тем, что написано на Swift и даёт возможность попробовать поискать все уязвимости из категории OWASP Mobile Top 10. Причём, как в рантайме, так и по коду.

Автор же в своем обзоре детально расписывает, как именно решить все задачи и пройти все уровни в этом учебном приложении.

Опять же, его можно использовать, как базовый CTF для разработчиков. Но лучше немного допилить, чтобы по этому найду нельзя было один в один пройти))

#iOS #DVIA #Swift #CTF

Присоединяйтесь, поговорим за AppSec :)

В пятницу, 24 июля, будем говорить про SSDLC с Юрием Шабалиным (@Mr_R1p). Обсудим это явление как таковое и кому оно может пригодиться. Поговорим про инструменты и подходы, которые помогут в построении SSDLC и попробуем поразбирать реальные кейсы применения.

Это будет прямой эфир, так что готовьтесь задавать вопросы.

https://youtu.be/EGB8mstJlyA

​​Я не очень люблю писать про разборы очередных зловредных приложений под Android. Как правило, они используют одни и те же техники, которые существуют уже давно, надесь на доверчивость пользователя или его желание во что бы то ни стало посмотреть на котиков.

Обычно, такие зловреды не несут в себе никакой функциональности для пользователя, а всего лишь пытаются получить данные пользователя, украсть смс и прочее. Мой фаворит - это фейковое приложение "Все банки в одном приложении", которое имела внутри себя 1 activity с возможностью выбрать банк для подключения и формочкой для данных карты. В зависимости от выбранного банка менялся фон - зеленый, красный, желтый.. При этом, GooglePlay рекомендовал его мне для установки и он был в топе скачиваний 🤦‍♂️🤦‍♂️

Но есть и исключения из правил, и об одном таком приложении написали коллеги из Eset. Приложение с полным функционалом мессенджера, которым пользовались люди и которое, помимо основного функционала, имело несколько интересных побочных функций :)

Достаточно легкий и в какой-то степени интересный обзор 😄

#Android #Malware #ChatApp

​​Недавно я писал про статью об уязвимостях в библиотеке для обработки изображений в телефонах Samsung.

Сегодня вышла вторая часть про то, как именно исследователь нашёл все эти уязвимости и как именно проводился фаззинг!

Много текста и кода, но это того стоит!

#Android #Samsung #Fuzzing

​​Всегда было безумно интересно, как создавались эксплойты для iOS, ведь для того, чтобы понять, описать и связать воедино все элементы атаки, нужно понимать систему досконально.

И вот, в этой статье описывается, как именно проходит работа над созданием готового эксплойта. Примечательна эта статья как раз своим обучающим подходом. Цель простая - берём публичные, хорошо описанные уязвимости и создаём из них готовый эксплойт. Все шаги по подготовке окружения, описание триггеров для различных процессов, всё это детально прописано.

Безумно интересно и познавательно, хотя я скорее это и не повторю 🙈

#iOS #Exploits #Vulnerability #Learning

​​Интересное ближе, чем может оказаться. Я люблю приложения, это намного удобнее и быстрее, чем открывать сайт, например. Уже не помню, когда последний раз заходил в онлайн банк :)

Но какие скрытые функции могут быть в приложениях, о которых мы не подозреваем? Это в продолжении истории с мессенджером-шпионом.

Сегодня с огромным интересом прочитал статью про анализ приложения для Дронов компании DJI.

Занятно, что автор сопоставляет использованные технологии в приложении с аналогичными в различных малварях. Тут тебе и встроенные обновления, и доступ ко всему, до чего можно дотянуться, и общение с управляющим центром 😁
Ну и конечно, описание, как он обходил шифрование и защиту приложения 🤓

Почитайте, правда очень увлекательно!

#Android #Analysis #DJI

​​Специально для ленивых и для тех, кто все время лезет в гугл, что бы посмотреть правильную команду в консоли (каждый раз так делаю, когда нужно архив распаковать в линуксе 🤦‍♂️).

Утилита для упрощения работы с adb, так же имеет связку с некоторыми модулями metasploit для Android, поставляется в виде bash-скрипта.

Ничего сверхъестественного, но может быть полезна в ряде случаев

#Android #Tools #Metasploit

​​Нашёл занятную утилиту, которая позволяет быстро и достаточно просто получать данные об используемом шифровании (алгоритм, его параметры, ключ и т.д.).

Работает через патчинг приложения и только, если используется стандартный SecurityProvider .

В ряде случаев может помочь быстро получить необходимые данные и поискать где-то ключик 🔑

#Android #Tools #Crypto

​​Третья часть цикла статей про эксплуатацию уязвимостей в обработке изображений на Samsung.

Автор рассказывает, как ему пришла идея, после пачки багов найденных фаззингом написать эксплойт, который бы мог бы работать без взаимодействия с пользователем. Отправляешь MMS сообщение на телефон, жертва получает его, пытается обработать изображение и всё, профит 😎
То есть, сообщение даже не нужно открывать!

На самом деле, с удовольствием слежу за этим циклом статей, написано увлекательно и получается прямо целая "история одного эксплойта" 😁

#Android #Fuzzing #Exploit #Samsung

​​Набрёл на интересный инструмент, который позиционирует себя, как фреймворк для анализ malware под Android.

Но после изучения функциональности стало понятно, что он замечательно подойдет для анализа приложений в том числе:

- Отслеживание вызовов различных API
- Распаковка приложения (поддерживается в том числе Qihoo, Secshell и другие)
- Эмуляция различных системных событий для запуска вредоносного поведения
- Запуск компонентов приложения (Activities, Services e.t.c.)
- Перевод пользовательского интерфейса на английский 😀
- Удобные обертки для adb команд (изменение proxy, и прочих)

Прикольное решение с использование своего собственного расширения для файлов (.med) Непонятно зачем, так как там все равно код для Frida, но занятно 😃

Enjoy!

За что мне нравится блог Elcomsoft - это за большое количество референсов на другие статьи. Зашел прочитать небольшой обзор про то, что можно сделать с backup, и вот уже читаешь пятую или шестую статью 😄

Интересно, что начиная с iOS 11 можно сбросить пароль с backup зная только пин устройства. Конечно, зная пин, можно наворотить многое, но имея на руках еще и полноценный бекап с содержимым keychain - вообще мечта 😏

Кстати, кто знает, как полностью отключить возможность бекапа данных приложения в iOS (по аналогии с android:allowBackup: false)? Я знаю только программный способ для определенных файлов (NSURLIsExcludedFromBackupKey) и из настроек самого устройства. Интересно, можно ли совсем это отключить?

#iOS #Elcomsoft #Backups

Вчера писал про бэкапы и что в них попадают данные из keychain (если бэкап с паролем, конечно).

Сегодня вышла шикарная статья про данные из keychain в бекапах.

Статья интересна тем, что в ней рассматриваются все основные флаги и способы хранения элементов в keychain, условия их попадания в локальные и облачные копии, а так же разные способы, как их оттуда достать 😏

#iOS #Keychain #Backup

Отличный материал!

Слайды:
https://docs.google.com/presentation/d/15bi5pndttfCzMEMw8GT2oCHCJvHx_a8YszkkSMtp_jE/edit?usp=drivesdk

Репозиторий:
https://github.com/B3nac/InjuredAndroid

А у нас тут свежачок с интересными практиками эксплуатации уязвимостей в Android (и не только) приложениях. Если вы мучались и не знали как провести эту скучную пятинцу, то вам вам видео, слайды и репозиторий на гитхабе.

https://www.youtube.com/watch?v=uWT15hEM1dQ

​​Отличная серия из трёх статей про баги в различных мессенджерах через уязвимость в протоколе WebRTC.

Признаться, я не знал о существовании этого протокола, пока не прочитал эти статьи 🙈

Подвержены уязвимости были очень многие популярные приложения и поэтому читать об успешной эксплуатации ещё интереснее 😁

#Android #Vulnerability #WebRTC