6.4 KiB
{% hint style="success" %}
Learn & practice AWS Hacking:
HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: 
HackTricks Training GCP Red Team Expert (GRTE)
Support HackTricks
- Check the subscription plans!
- Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
- Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.
Code et plus d'informations sur https://mas.owasp.org/MASTG/iOS/0x06h-Testing-Platform-Interaction/#object-persistence.
Sérialisation d'objets dans le développement iOS
Dans iOS, la sérialisation d'objets implique de convertir des objets en un format qui peut être facilement stocké ou transmis, puis de les reconstruire à partir de ce format lorsque nécessaire. Deux protocoles principaux, NSCoding et NSSecureCoding, facilitent ce processus pour les sous-classes Objective-C ou NSObject, permettant aux objets d'être sérialisés en NSData, un format qui enveloppe des tampons d'octets.
NSCoding Implementation
Pour implémenter NSCoding, une classe doit hériter de NSObject ou être marquée comme @objc. Ce protocole impose l'implémentation de deux méthodes pour l'encodage et le décodage des variables d'instance :
class CustomPoint: NSObject, NSCoding {
var x: Double = 0.0
var name: String = ""
func encode(with aCoder: NSCoder) {
aCoder.encode(x, forKey: "x")
aCoder.encode(name, forKey: "name")
}
required convenience init?(coder aDecoder: NSCoder) {
guard let name = aDecoder.decodeObject(forKey: "name") as? String else { return nil }
self.init(x: aDecoder.decodeDouble(forKey: "x"), name: name)
}
}
Améliorer la sécurité avec NSSecureCoding
Pour atténuer les vulnérabilités où des attaquants injectent des données dans des objets déjà construits, NSSecureCoding offre un protocole amélioré. Les classes conformes à NSSecureCoding doivent vérifier le type des objets lors du décodage, garantissant que seuls les types d'objets attendus sont instanciés. Cependant, il est crucial de noter que bien que NSSecureCoding améliore la sécurité des types, il ne crypte pas les données ni n'assure leur intégrité, nécessitant des mesures supplémentaires pour protéger les informations sensibles :
static var supportsSecureCoding: Bool {
return true
}
let obj = decoder.decodeObject(of: MyClass.self, forKey: "myKey")
Archivage de données avec NSKeyedArchiver
NSKeyedArchiver et son homologue, NSKeyedUnarchiver, permettent d'encoder des objets dans un fichier et de les récupérer ultérieurement. Ce mécanisme est utile pour la persistance des objets :
NSKeyedArchiver.archiveRootObject(customPoint, toFile: "/path/to/archive")
let customPoint = NSKeyedUnarchiver.unarchiveObjectWithFile("/path/to/archive") as? CustomPoint
Utilisation de Codable pour une sérialisation simplifiée
Le protocole Codable de Swift combine Decodable et Encodable, facilitant l'encodage et le décodage d'objets comme String, Int, Double, etc., sans effort supplémentaire :
struct CustomPointStruct: Codable {
var x: Double
var name: String
}
Cette approche prend en charge la sérialisation simple vers et depuis des listes de propriétés et JSON, améliorant ainsi la gestion des données dans les applications Swift.
Alternatives d'encodage JSON et XML
Au-delà du support natif, plusieurs bibliothèques tierces offrent des capacités d'encodage/décodage JSON et XML, chacune ayant ses propres caractéristiques de performance et considérations de sécurité. Il est impératif de sélectionner ces bibliothèques avec soin, en particulier pour atténuer les vulnérabilités telles que les attaques XXE (XML External Entities) en configurant les analyseurs pour empêcher le traitement des entités externes.
Considérations de sécurité
Lors de la sérialisation des données, en particulier vers le système de fichiers, il est essentiel de rester vigilant quant à l'inclusion potentielle d'informations sensibles. Les données sérialisées, si elles sont interceptées ou mal gérées, peuvent exposer les applications à des risques tels que des actions non autorisées ou des fuites de données. Il est recommandé de chiffrer et de signer les données sérialisées pour améliorer la sécurité.
Références
{% hint style="success" %}
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Support HackTricks
- Check the subscription plans!
- Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
- Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.