Android Guards

Кто-то еще помнит про существование Android Auto? Я думал проект умер или находится в состоянии гибернации, но похоже что я ошибался. С этой балалайкой выпускают автомобили и я предлагаю вам почитать отличную историю про взлом такого автомобиля. В ней есть все, что мы любим: магичские пасы руками для доступа в инженерное меню, брутфорс паролей, захардкоженные ключи шифрования и даже IDAPro.

Хороший гайд по реверсу приложений на Flutter. Я бы сказал - лучший из тех, что я видел до этого. Показано очень много аспектов проведения исследования и все это собрано в последовательное повествование. Тем не менее, на мой вкус, все еще очень много ручной работы там где можно было автоматизировать процесс. Но это скорее идеи на будущее. А ребята из SPbCTF молодцы!

Про это не написал только ленивый, поэтому буду краток. На https://bugbounty.standoff365.com появилась куча новых программ. Из интересного: мобильные приложения от VK, Mail, Одноклассники и несколько веб-сервисов, которые я никогда не видел. Есть шанс, что их не видел не только я, а значит там могут быть баги и надо их искать. За RCE в "одноклассниках" обещают "ладу гранту" в базовой комплектации, а за то же самое в VK - уже вполне себе солярис и еще на подогрев седений останется. Happy hacking 😎

Один скриншот вместо тысячи слов. Жаль нет smali, но все равно выглядит довольно полезно. Там не только Kotlin и Java. Обязательно поиграйтесь. https://godbolt.org/

Столкнулся с интересной проблемой при настройке нового окружения. При переносе сертификатов в системные, новый Chrome начинается ругаться на Certificate Transparency и никакого трафика из браузера не отображается в бурпе. Вылечить можно так: 1. Удалить модуль Move Certificates из Magisk и перезагрузиться. После этого добавленный ранее сертификат должен пропасть из системных 2. Получить из бурпа новый сертификат и установить его как описано в шаге №6 этого гайда 3. Скачать master ветку этого репозитория. Там будет версия 2.0 4. Теперь архив нужно перепаковать так, чтобы в корне оказались файлы module.prop, install.sh и т.д. Например так: unzip movecert-master.zip && cd movecert-master && zip -r ../movecert2.0.zip * && cd - && rm -fr movecert-master 5. Закинуть получившийся архив на девайс: adb push movecert2.0.zip /sdcard/Dowload и установить через меню модулей (Install from storage) 6. В настройках Magisk включить Zygisk и Enforce DenyList если они отключены 7. Зайти в Configure DenyList и в настройках (правый верхний угол) установить галку Show system apps 8. Найти в списке Chrome и отметить его галочкой 9. Перезагрузиться и убедиться, что новый сертификат отображается как в системных, так и в пользовательских Теперь все должно работать. Чуть больше подробностей (в т.ч. откуда взялся левый репозиторий с расширением) можно найти здесь.

Я сейчас занимаюсь интересным исследованием, если доведу его до ума, то ближе к зиме смогу рассказать. Но это пока секрет👨‍🔬 А у вас есть какие-нибудь интересные исследования? Или может есть забавные истории про найденные вами уязвимости или "отчет по реверсу одного стиллера"? ;) Все это конечно можно отправить на OFFZone, но я всегда за опции, поэтому если выступать на большой конференции по какой-то причине вам не хочется, то можно выступить на митапе Standoff Talks, который пройдет 23 августа. Там сейчас формируется программа и осталось всего 5 дней до окончания приема заявок. Форму найдете тут](https://cfp.standoff365.com/). Говорят, что там будут кормить. Но я бы сильно не расчитывал :D

Я уже писал про розыгрыш билетов на OFFZone и надеюсь, что кто-то из вас их даже получил. После продажи билетов, по закону жанра, нужно наполнить конференцию интересным контентом. Да-да, не наоборот! =) Организаторы AppSec зоны принимают заявки на доклады и если вам не удалось выиграть билет, то есть еще один шанс посетить конференцию бесплатно ;) О чем можно рассказать: - безопасная разработка всех форм и размеров - инструменты для и против апсека - новые уязвимости и переосознание старых - можно даже затереть про DevOps или CTF в банке (Не взлом банка, а CTF! Главное не перепутать!) На самом деле, если вам просто хочется сходить на конференцию бесплатно выступить с хорошим докладом, то смело пишите свои идеи организаторам. Может именно ваш доклад окажется наиболее интересным в AppSec зоне. Связаться с организаторами можно через сайт, почту appsec@offzone.moscow или написать @Mr_R1p.

Периодически в чате возникают вопросы о том, какой же девайс себе купить для тестов. Вариантов много и за разные деньги. Я люблю референсные устройства от Google, т.к. с ними меньше всего проблем. Но трудности не пугают настоящего самурая и люди покупают себе всякое странное, а потом долго пытаются привести это устройство в кондиционное для проведения тестов состояние. Одно из таких устройств недавно попало мне в руки и мне нужно было получить на нем root права. Процесс оказался нетривиальным и я задокументировал его для будущих поколений. Плюс теперь есть еще одно устройство для осуществления захеков =) https://fi5t.xyz/posts/oppo-a16-easy-root/

Давайте немного разбавим технические посты чем-то менее техническим. Широко известный в узких кругах лысый из JetBrains Егор Толстой проводит свой ежегодный опрос для исследования сообществ и команд Android разработки в России. Если вы такое любите, то поучаствуйте в его опросе. А если увидите там название этого канала, то вы знаете что делать 😉

Попробуем провести небольшой интерактив. Если зайдет, то буду периодически такое закидывать. Какие вы видите проблемы в этом коде? Чем подробнее ответ, тем лучше. Ответы пишите в комментариях к этому сообщению. #puzzles

Начинаем через минуту. Подтягивайтесь.

В среду 06.07.2022 в 20:00 (MSK) хочу провести стрим, в котором обсудим как прийти в мобильный инфобез в 2022 году. Уклон беседы будет скорее в offensive security, но думаю, что разработчики тоже узнают для себя что-то интересное. Темы, которые хотелось бы затронуть: - С чего начать совсем молодым специалистам. Что изучать, а на что можно забить в начале пути - Как вкатиться уже матерым хакерам, которые точно знают в какое поле пихать кавычку, а в какое лучше не надо - Что делать разработчикам, у которых наступил "кризис веры" и есть желание уверовать в захек мобилок Еще попробуем поговорить о рабочем процессе в целом и какую пользу все эти мобильные познания могут принести если решите перекатиться в другую область. Ну и конечно же хочется послушать ваши вопросы чтобы сделать повествование наиболее полным и полезным. Проходить все будет в формате видео чата в группе Android Guards, так что если вы еще не там, то самое время.

⚡️ Вышла новая версия библиотеки Pinkman. Теперь она нормально работает в Android 12. Благодарности за это отправляем ребятам из Redmadrobot: osipxd и Zestxx. Напишите в комментариях, чего вам там не хватает еще. Может быть ребята из Redmadrobot я наконец-то соберусь с силами и выпущу вторую версию...

В соседнем канале Mobile AppSec World разыгрывают билеты на конференцию OFFZone, которая пройдет этим летом. Для участия в розыгрыше нужен сущий пустяк. Написать историю о самой тупой уязвимости, которую вы находили в мобильных приложениях. Если ничего в голову не приходит, то про ssl pinning думаю можете написать. Эти истории все любят. Подробности тут. Надеюсь встретимся на OFFZone.

Сколько было разговоров о том, что Fuchsia OS заменит Android и начнется новая эра? И где теперь эта Fuchsia OS? Оказалось, что она все еще активно разрабатывается и похоже не собирается умирать. Чтобы не прозозохать все на свете и быть готовым, когда Fuchsia OS придет в ваш дом - рекомендую прочитать этот серьезный материал. Из статьи вы узнаете: - Что из себя представлет Fuchsia OS и как выглядит ее модель безопасности - Как собрать ОС из исходников и написать приложение для нее - Как выглядит ядро ОС и как его подебажить с помощью GDB и QEMU - Как разрабатывать эксплойты для ядра Fuchsia OS (Zirocon) Под чай с печеньками прочитать не выйдет. Придется включать мозги 👨‍🔬

Смотреть трансляцию Positive Hack Days бесплатно и без смс можно здесь - https://event.phdays.com/ru. Есть удобный фильтр по зонам. Доклады уже идут!

Небольшая заметка про маленький, но противный баг, который периодически встречается в приложениях использующих биометрическую аутентификацию

Хочу порекомендовать вам неплохую книгу про анализ сетевых протоколов - Attacking Network Protocols: A Hacker's Guide to Capture, Analysis, and Exploitation. В книге рассказывается с какой стороны подходить к анализу неизвестных протоколов и дается набор смежных тем. Для совсем начинающих может быть местами сложной, но для продолжающих - в самый раз. Почтенным ИБ-сеньорам будет традиционно скучно. Глава 1. Основы сетей - если не читали Олиферов (и не хотите), то эта глава отлично вводит в курс дела. Даются базовые знания о том как работают локальные и глобальные сети; Глава 2. Перехват трафика - адептам подхода "з0пуск4ем бурп && п0лeт3ли" будет полезно узнать какие способы перехвата трафика вообще существуют и как они работают; Глава 3. Структура сетевых протоколов - объясняются типичные для сетевых протоколов структуры данных, TLV и все, что рядом; Глава 4. Расширенный перехват трафика приложений - чуть больше практических примеров и утилит чем в Главе 2. Также разбираются ARP и DNS спуфинг; Глава 5. Анализ на практике - на примере самописного чата, автор показывается как анализировать неизвестные протоколы. Wireshark + скриптинг на Lua; Глава 6. Обратная разработка приложений - самые базовые знания о реверсе, архитектура x86 и немного примеров. Если уже в теме, то главу можно смело пропускать полностью; Глава 7. Безопасность сетевых протоколов - основы криптографии и атак на нее в контексте сетевых протоколов. Отдельно дается информация про то как работает TLS; Глава 8. Реализация сетевых протоколов - на примерах показано как эмулировать клиентскую и серверную часть протоколов. Но я не в восторге от этой главы. Хотя может вам понравится; Глава 9. Основные причины уязвимостей - небольшой глоссарий сетевых уязвимостей. Для начинающих будет полезным элементом систематизации знаний; Глава 10. Поиск и эксплуатация уязвимостей - на примерах разбирается как эсплуатировать узявимости из Главы 9. В целом - эта глава неплохая и если никогда с таким не сталкивались, то она более чем неплохая. Но лично от себя, на эту тему, я бы рекомендовал читать Hacking: The Art of Exploitation.

Экосистемы сейчас на хайпе. Про них даже один известный человек высказался: "Есть элементы этой экосистемы, которые нужно доработать. Нужно сделать свой интернет-магазин, потому что App Store и Google Play на сегодняшний день у нас уже практически могут скоро не дать возможности скачивать приложения". А вот насколько хорошо разработчики приложений понимают, как построить безопасную экосистему? Чтобы не теоретизировать, я решил посмотреть на существующие экосистемы и рассказать вам об одной интересной уязвимости, которая характерна именно для экосистем приложений. Никакой теории, только код, кишки и ссылки для дальнейшего изучения.