Всё, что вы хотели знать о Content Provider, но боялись спросить

Всем привет!

И для этого пятничного вечера я принес несколько классных новостей. Во-первых, это замечательная статья про практически все потенциальные возможности атаки на приложения через Content Provider (я думаю, что все-таки не все, уверен, кто-то еще знает несколько способов, но молчит и тихо их использует). В статье описаны несколько способов получения данных и как этих проблем избежать. Я бы рекомендовал эту статью не только тем, кто любит ломать приложения, но и разработке, чтобы посмотреть на свои компоненты с другой стороны.

Ну а для тех, кто любит послушать и посмотреть, есть отличное интервью Critical Thinking и автора OverSecured - @bagipro.

#android #contentprovider #oversecured

Ну и всем, конечно, хорошего вечера!

Встречаемся завтра!

Всем привет!

Уже завтра пройдет наш первый сабантуй :)

Стартуем в 20:00, собираемся примерно к этому времени. Я буду на месте около 19, так что приезжайте, как будет удобно!

Добавляйте в календари, чтобы не забыть!

До встречи и пусть все пройдет хорошо :)

#mobileappsecclub

а у нас все камерно и уютно :)

Будьте бдительны на фронтах идеологической борьбы

Ребят, меня тут только что пытались нагло просоциалить.

Суть такая, берут контакт из известных вам (в моем случае это админ из канала), делают аккаунт в телеге с очень похожим ником и очень похожим именем и пишут вам с целью занять денег.

Само собой, злодей был раскрыт и обезврежен)) но будьте бдительны и тщательно проверяйте имена пользователей, номера телефонов и аккаунты, с которых вам пишут)

будьте бдительны и не ведитесь на подобные разводы!

P. S. Еще одним фактором, что вас разводят будет плашка вверху (добавить контакт/заблокировать), которая точно не появляется, если этот контакт уже есть у вас в списке, так что тоже обращайте на это внимание!

#phishing #socengineering

Итоги первого Mobile AppSec Club

Всем привет!
Немного запоздало хочу поблагодарить всех, кто смог найти время и силы выбраться в дождливую среду на нашу первую встречу!

Как по мне было крайне уютно, отлично посидели, познакомились, послушали прикольные истории, получился такой импровизированный ИБ-стендап :) Спасибо всем, кто выступил и поделился своими историями из жизни и посмеялся вместе с нами)

Был очень рад вас всех увидеть и познакомиться лично с теми, кого еще не знал!
Мне кажется, что подобное мероприятие надо будет обязательно повторить!

Так что, друзья, до новых встреч!

А я буду продолжать выкладывать интересные статьи, новости и инструменты, может как раз какой-то из них и обсудим на следующей встрече :)

#mobileappsecclub #thanks

Еще один комбайн для анализа приложений - MMSF

Нашел еще один комбайн по анализу мобильных приложений, под названием MMSF (Massive Mobile Security Framework). Да, с фантазией относительно названия тут явно не задалось.

Что он из себя представляет? По факту это интерактивный шелл, по своему принципу очень напоминающий Drozer (очень похожий выбор модулей, навигация, конфигурация и т.д.). Внутри это набор различных питоновских модулей, которые взаимодействуют с устройством и приложением внутри него.

Внутри опять-таки спрятана фрида и набор вполне базовых скриптов (обход рута/эмулятора, SSL Unpinning) и другие похожие вещи. Из интересного я бы отметил скрипт по патчу приложений для использования через objection на нерутованных/незаджейленных устройствах. Это по факту некоторая автоматизация из официальной документации по включению в пакет приложения специальной библиотеки.

Также интерес может предоставлять опция scan, но что происходит внутри и насколько там корректно реализованы проверки я пока еще не смотрел, но в самое ближайшее время собираюсь.

По первому впечатлению - это тот же дрозер, только более навороченный, возможно будет удобнее для каких-то ручных проверок, если у вас нет автоматизации для проверки, например, контент-провайдеров.

Ну и так как репозиторий относительно молодой (от июня 2023 года), он все еще развивается (4 дня назад последний коммит). Будем наблюдать, посмотрим, что у автора в итоге получится.

#android #ios #tool #combain #mmsf

Introduction to Security of Mobile Applications for Android

Всем привет!
Не так давно вышло отличное видео про введение в безопасность Android-приложений.

Очень советую всем, кто хотел бы вкатиться в эту область или расширить свой кругозор относительно разработки. В примерах, которые приводит Игорь в своем докладе, он рассматривает как раз написанное нами уязвимое приложение Secure Notes, которое мы публиковали на OFFZONE в качестве CTF.

На мой взгляд это отличный пример того, как на реальном приложении рассматриваются самые различные проблемы безопасности и объясняется, как их недопустить (ну и способы эксплуатации, конечно).

И помните, мы обещали выложить некоторые подробности того, как устроено приложение внутри, какие были баги и что мы еще вспомним об этом приложении? Я очень надеюсь, что скоро мы выпустим интересную статью про наше замечательное приложение.

Игорь, Лина, спасибо вам за контент и приложение 😄

#securenotes #android #video #training

Обучение в ИБ и не только

Всем привет, недавно пообщались с уважаемыми людьми про обучение, про кадры, про разные курсы и все, что с этим связано. Как по мне получилось очень даже классно :)

Старт в анализе iOS-приложений

Всем привет, не так давно, на встрече обсуждали, что для iOS не так много материала и вкатиться в их анализ намного сложнее.

И это действительно так, анализ iOS сложнее для входа, из-за особенностей самой платформы, которая не очень-то предоставляет интерфейсы для взаимодействия приложений между собой. Они, конечно есть, но их намного меньше, чем в том же Android. Ну и конечно это формат самих приложений. Нельзя просто так взять и декомпилировать iOS-приложение, получила читаемый код, в котором относительно просто ориентироваться. Для яблока это работа с дизассемблерами и бинарщиной.

Но на самом деле, материалы есть и вот несколько статей из серии, как начать:

Часть 1. Про установку твиков, сидит и прочие базовые штуки.

Часть 2. Тут про стандартные проверки, как их выполнять разными способами через разные инструменты.

Часть 3. Тут про обход джейлбрейка, про отключение пиннинга и чуть-чуть про флаттер.

Статьи весьма базовые, но дают первое представление, как работать вообще с такими приложениями.

От себя лишь добавлю, что не увлекайтесь особенно твиками, некоторые из них могут либо окирпичить ваше устройство, либо повлиять на работу других твиков из-за конфликтов.

#ios #start

Эксплуатация уязвимости выполнения кода на уровне ядра через функционал OTA Update в MacOS

Доклад из разряда «Ничего не понятно, но очень интересно!».

Для начала материалы:
1. Слайды с доклада
2. PoC для энтузиастов
3. Видео демонстрация

К сожалению, мне не довелось еще изучить механизмы безопасности операционной системы MacOS, в частности, защиту SIP и прочие околосвязанные вещи. В теории я более менее понимаю, как оно работает, но пока что, все что я делал, это отключал SIP :)

Надеюсь, эти материалы будут полезны тем, кто вплотную работает с этим направлением. Ну а остальным, в качестве расширения кругозора :₽

#macos #ace #kernel