Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-24 21:53:54 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/mobile-pentesting/android-app-pentesting/README.md

62 KiB
Raw Blame History

Teste de Penetração em Aplicativos Android

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

HackenProof é o lar de todas as recompensas por bugs de criptografia.

Seja recompensado sem atrasos
As recompensas do HackenProof são lançadas apenas quando os clientes depositam o orçamento de recompensa. Você receberá a recompensa após a verificação do bug.

Adquira experiência em teste de penetração web3
Protocolos de blockchain e contratos inteligentes são a nova Internet! Domine a segurança web3 em seus dias de ascensão.

Torne-se a lenda do hacker web3
Ganhe pontos de reputação com cada bug verificado e conquiste o topo do leaderboard semanal.

Cadastre-se no HackenProof comece a ganhar com seus hacks!

{% embed url="https://hackenproof.com/register" %}

Conceitos Básicos de Aplicativos Android

É altamente recomendado começar a ler esta página para conhecer as partes mais importantes relacionadas à segurança do Android e os componentes mais perigosos em um aplicativo Android:

{% content-ref url="android-applications-basics.md" %} android-applications-basics.md {% endcontent-ref %}

ADB (Android Debug Bridge)

Esta é a principal ferramenta que você precisa para se conectar a um dispositivo Android (emulado ou físico).
Ele permite que você controle seu dispositivo por USB ou Rede a partir de um computador, copie arquivos de ida e volta, instale e desinstale aplicativos, execute comandos shell, faça backups, leia logs e muito mais.

Dê uma olhada na seguinte lista de Comandos ADB para aprender como usar o adb.

Smali

Às vezes, é interessante modificar o código do aplicativo para acessar informações ocultas (talvez senhas ou flags bem ofuscadas). Nesse caso, pode ser interessante descompilar o apk, modificar o código e recompilá-lo.
Neste tutorial você pode aprender como descompilar um APK, modificar o código Smali e recompilar o APK com a nova funcionalidade. Isso pode ser muito útil como uma alternativa para vários testes durante a análise dinâmica que serão apresentados. Portanto, sempre tenha isso em mente.

Outros truques interessantes

adb shell pm list packages
com.android.insecurebankv2

adb shell pm path com.android.insecurebankv2
package:/data/app/com.android.insecurebankv2-Jnf8pNgwy3QA_U5f-n_4jQ==/base.apk

adb pull /data/app/com.android.insecurebankv2- Jnf8pNgwy3QA_U5f-n_4jQ==/base.apk

HackenProof é o lar de todas as recompensas por bugs de criptografia.

Seja recompensado sem atrasos
As recompensas do HackenProof são lançadas apenas quando seus clientes depositam o orçamento de recompensa. Você receberá a recompensa após a verificação do bug.

Adquira experiência em pentesting web3
Protocolos de blockchain e contratos inteligentes são a nova Internet! Domine a segurança web3 em seus dias de ascensão.

Torne-se uma lenda hacker web3
Ganhe pontos de reputação com cada bug verificado e conquiste o topo do leaderboard semanal.

Cadastre-se no HackenProof e comece a ganhar com seus hacks!

{% embed url="https://hackenproof.com/register" %}

Análise Estática

Antes de tudo, para analisar um APK, você deve dar uma olhada no código Java usando um decompilador.
Por favor, leia aqui para encontrar informações sobre diferentes decompiladores disponíveis.

Procurando por informações interessantes

Apenas dando uma olhada nas strings do APK, você pode procurar por senhas, URLs (https://github.com/ndelphit/apkurlgrep), chaves de API, criptografia, UUIDs de Bluetooth, tokens e qualquer coisa interessante... procure até mesmo por backdoors de execução de código ou backdoors de autenticação (credenciais de administrador codificadas no aplicativo).

Firebase

Preste atenção especial aos URLs do Firebase e verifique se estão mal configurados. Mais informações sobre o que é o Firebase e como explorá-lo aqui.

Compreensão básica do aplicativo - Manifest.xml, strings.xml

Usando qualquer um dos decompiladores mencionados aqui, você poderá ler o Manifest.xml. Você também pode renomear o arquivo APK para a extensão .zip e descompactá-lo.
Lendo o manifest, você pode encontrar vulnerabilidades:

  • Em primeiro lugar, verifique se o aplicativo pode ser depurado. Um APK de produção não deve ser (ou outros poderão se conectar a ele). Você pode verificar se um aplicativo pode ser depurado procurando no manifesto pelo atributo debuggable="true" dentro da tag <application Exemplo: <application theme="@2131296387" debuggable="true"
  • Aprenda aqui como encontrar aplicativos depuráveis em um telefone e explorá-los
  • Backup: O atributo android:allowBackup define se os dados do aplicativo podem ser copiados de segurança e restaurados por um usuário que habilitou a depuração USB. Se a sinalização de backup estiver definida como verdadeira, ela permite que um invasor faça backup dos dados do aplicativo via adb, mesmo que o dispositivo não esteja rooteado. Portanto, aplicativos que manipulam e armazenam informações sensíveis, como detalhes de cartão, senhas etc., devem ter essa configuração explicitamente definida como false, porque por padrão ela é definida como true para evitar esses riscos.
  • <application android:allowBackup="false"
  • NetworkSecurity: A segurança de rede do aplicativo pode substituir os valores padrão com android:networkSecurityConfig="@xml/network_security_config". Um arquivo com esse nome pode ser colocado em res/xml. Este arquivo configurará configurações de segurança importantes, como pins de certificado ou se permite tráfego HTTP. Você pode ler aqui mais informações sobre todas as coisas que podem ser configuradas, mas verifique este exemplo sobre como configurar o tráfego HTTP para alguns domínios:
  • <domain-config cleartextTrafficPermitted="true"> <domain includeSubdomains="true">formation-software.co.uk </domain></domain-config>
  • Atividades exportadas: Verifique as atividades exportadas no manifesto, pois isso pode ser perigoso. Mais tarde, na análise dinâmica, será explicado como você pode abusar desse comportamento.
  • Provedores de conteúdo: Se um provedor exportado estiver sendo exposto, você poderá acessar/modificar informações interessantes. Na análise dinâmica, você aprenderá como abusar deles.
  • Verifique as configurações de FileProviders no atributo android:name="android.support.FILE_PROVIDER_PATHS". Leia aqui para saber mais sobre FileProviders.
  • Serviços expostos: Dependendo do que o serviço está fazendo internamente, vulnerabilidades podem ser exploradas. Na análise dinâmica, você aprenderá como abusar deles.
  • Receptores de transmissão: Você aprenderá como possivelmente explorá-los durante a análise dinâmica.
  • Esquema de URL: Leia o código da atividade que gerencia o esquema e procure por vulnerabilidades no gerenciamento da entrada do usuário. Mais informações sobre o que é um esquema de URL aqui.
  • minSdkVersion, targetSDKVersion, maxSdkVersion: Eles indicam as versões do Android em que o aplicativo será executado. É importante tê-los em mente porque, do ponto de vista da segurança, suportar versões antigas permitirá que versões vulneráveis conhecidas do Android o executem.

Lendo resources.arsc/strings.xml, você pode encontrar algumas informações interessantes:

  • Chaves de API
  • Esquemas personalizados
  • Outras informações interessantes que os desenvolvedores salvam neste arquivo

Tapjacking

Tapjacking é um ataque em que um aplicativo malicioso é lançado e se posiciona sobre um aplicativo vítima. Uma vez que ele obscurece visivelmente o aplicativo vítima, sua interface do usuário é projetada de forma a enganar o usuário para interagir com ele, enquanto ele passa a interação para o aplicativo vítima.
Na prática, ele cega o usuário, fazendo-o pensar que está realizando ações no aplicativo vítima.

Para detectar aplicativos vulneráveis a esse ataque, você deve procurar por atividades exportadas no manifesto do Android (observe que uma atividade com um intent-filter é automaticamente exportada por padrão). Depois de encontrar as atividades exportadas, verifique se elas requerem alguma permissão. Isso ocorre porque o aplicativo malicioso também precisará dessa permissão.
Por fim, é importante verificar o código em busca de possíveis configurações de setFilterTouchesWhenObscured. Se definido como true, um botão pode ser automaticamente desativado se estiver obscurecido:

<Button android:text="Button"
android:id="@+id/button1"
android:layout_width="wrap_content"
android:layout_height="wrap_content"
android:filterTouchesWhenObscured="true">
</Button>

Você pode usar o qark com o parâmetro --exploit-apk para criar um aplicativo malicioso para testar possíveis vulnerabilidades de Tapjacking.
Um projeto de exemplo que implementa esse tipo de recurso pode ser encontrado em FloatingWindowApp.

A mitigação é relativamente simples, pois o desenvolvedor pode optar por não receber eventos de toque quando uma visualização é coberta por outra. Usando a Referência do Desenvolvedor Android:

Às vezes, é essencial que um aplicativo possa verificar se uma ação está sendo realizada com o pleno conhecimento e consentimento do usuário, como conceder uma solicitação de permissão, fazer uma compra ou clicar em um anúncio. Infelizmente, um aplicativo malicioso pode tentar enganar o usuário a realizar essas ações, sem saber, ocultando o propósito pretendido da visualização. Como remédio, o framework oferece um mecanismo de filtragem de toque que pode ser usado para melhorar a segurança de visualizações que fornecem acesso a funcionalidades sensíveis.

Para habilitar a filtragem de toque, chame setFilterTouchesWhenObscured(boolean) ou defina o atributo de layout android:filterTouchesWhenObscured como true. Quando habilitado, o framework descartará os toques recebidos sempre que a janela da visualização estiver obscurecida por outra janela visível. Como resultado, a visualização não receberá toques sempre que um toast, diálogo ou outra janela aparecer acima da janela da visualização.

Sequestro de Tarefas

{% content-ref url="android-task-hijacking.md" %} android-task-hijacking.md {% endcontent-ref %}

Armazenamento de dados inseguro

Armazenamento interno

Arquivos criados no armazenamento interno são acessíveis apenas pelo aplicativo. Essa proteção é implementada pelo Android e é suficiente para a maioria dos aplicativos. No entanto, os desenvolvedores frequentemente usam MODE_WORLD_READBALE e MODE_WORLD_WRITABLE para dar acesso a esses arquivos a um aplicativo diferente, mas isso não impede que outros aplicativos (maliciosos) acessem esses arquivos.
Durante a análise estática, verifique o uso desses modos, durante a análise dinâmica, verifique as permissões dos arquivos criados (talvez alguns deles sejam legíveis/graváveis em todo o mundo).
Mais informações sobre essa vulnerabilidade e como corrigi-la aqui.

Armazenamento externo

Arquivos criados no armazenamento externo, como cartões SD, são legíveis e graváveis globalmente. Como o armazenamento externo pode ser removido pelo usuário e também modificado por qualquer aplicativo, você não deve armazenar informações confidenciais usando o armazenamento externo.
Assim como dados de qualquer fonte não confiável, você deve realizar validação de entrada ao lidar com dados do armazenamento externo. Recomendamos fortemente que você não armazene arquivos executáveis ou de classe no armazenamento externo antes do carregamento dinâmico. Se o seu aplicativo recuperar arquivos executáveis do armazenamento externo, os arquivos devem ser assinados e verificados criptograficamente antes do carregamento dinâmico.
Informações retiradas daqui aqui.

O armazenamento externo pode ser acessado em /storage/emulated/0, /sdcard, /mnt/sdcard

{% hint style="info" %} A partir do Android 4.4 (API 17), o cartão SD possui uma estrutura de diretórios que limita o acesso de um aplicativo ao diretório específico para esse aplicativo. Isso impede que aplicativos maliciosos leiam ou gravem nos arquivos de outro aplicativo. {% endhint %}

Dados sensíveis armazenados em texto simples

  • Preferências compartilhadas: O Android permite que cada aplicativo salve facilmente arquivos XML no caminho /data/data/<nomedopacote>/shared_prefs/ e às vezes é possível encontrar informações sensíveis em texto simples nessa pasta.
  • Bancos de dados: O Android permite que cada aplicativo salve facilmente bancos de dados SQLite no caminho /data/data/<nomedopacote>/databases/ e às vezes é possível encontrar informações sensíveis em texto simples nessa pasta.

TLS quebrado

Aceitar todos os certificados

Por algum motivo, às vezes os desenvolvedores aceitam todos os certificados, mesmo que, por exemplo, o nome do host não corresponda com linhas de código como a seguinte:

SSLSocketFactory sf = new cc(trustStore);
sf.setHostnameVerifier(SSLSocketFactory.ALLOW_ALL_HOSTNAME_VERIFIER);

Uma boa maneira de testar isso é tentar capturar o tráfego usando um proxy como o Burp sem autorizar o CA do Burp dentro do dispositivo. Além disso, você pode gerar com o Burp um certificado para um nome de host diferente e usá-lo.

Criptografia quebrada

Processos de gerenciamento de chave fracos

Alguns desenvolvedores salvam dados sensíveis no armazenamento local e os criptografam com uma chave codificada/previsível no código. Isso não deve ser feito, pois a reversão pode permitir que os atacantes extraiam as informações confidenciais.

Uso de algoritmos inseguros e/ou obsoletos

Os desenvolvedores não devem usar algoritmos obsoletos para realizar verificações de autorização, armazenar ou enviar dados. Alguns desses algoritmos são: RC4, MD4, MD5, SHA1... Se hashes forem usados para armazenar senhas, por exemplo, hashes resistentes a ataques de força bruta devem ser usados com sal.

Outras verificações

  • É recomendado ofuscar o APK para dificultar o trabalho de engenharia reversa para os atacantes.
  • Se o aplicativo for sensível (como aplicativos bancários), ele deve realizar suas próprias verificações para ver se o dispositivo móvel está rooteado e agir em consequência.
  • Se o aplicativo for sensível (como aplicativos bancários), ele deve verificar se um emulador está sendo usado.
  • Se o aplicativo for sensível (como aplicativos bancários), ele deve verificar sua própria integridade antes de executá-lo para verificar se foi modificado.
  • Use o APKiD para verificar qual compilador/packer/ofuscador foi usado para construir o APK.

Aplicativo React Native

Leia a seguinte página para aprender como acessar facilmente o código JavaScript de aplicativos React:

{% content-ref url="react-native-application.md" %} react-native-application.md {% endcontent-ref %}

Aplicativos Xamarin

Leia a seguinte página para aprender como acessar facilmente o código C# de aplicativos Xamarin:

{% content-ref url="../xamarin-apps.md" %} xamarin-apps.md {% endcontent-ref %}

Aplicativos Superpacked

De acordo com este post de blog, o superpacked é um meta algoritmo que comprime o conteúdo de um aplicativo em um único arquivo. O blog fala sobre a possibilidade de criar um aplicativo que descomprima esse tipo de aplicativo... e uma maneira mais rápida que envolve executar o aplicativo e coletar os arquivos descomprimidos do sistema de arquivos.

Análise Estática Automatizada de Código

A ferramenta mariana-trench é capaz de encontrar vulnerabilidades escaneando o código do aplicativo. Essa ferramenta contém uma série de fontes conhecidas (que indicam à ferramenta os locais onde a entrada é controlada pelo usuário), sinks (que indicam à ferramenta locais perigosos onde a entrada maliciosa do usuário pode causar danos) e regras. Essas regras indicam a combinação de fontes-sinks que indica uma vulnerabilidade.

Com esse conhecimento, o mariana-trench revisará o código e encontrará possíveis vulnerabilidades nele.

Vazamento de segredos

Um aplicativo pode conter segredos (chaves de API, senhas, URLs ocultas, subdomínios...) dentro dele que você pode descobrir. Você pode usar uma ferramenta como https://github.com/dwisiswant0/apkleaks

Bypass na autenticação biométrica

{% content-ref url="bypass-biometric-authentication-android.md" %} bypass-biometric-authentication-android.md {% endcontent-ref %}

Outras funções interessantes

  • Execução de código: Runtime.exec(), ProcessBuilder(), código nativo: system()
  • Envio de SMS: sendTextMessage, sendMultipartTestMessage
  • Funções nativas declaradas como native: public native, System.loadLibrary, System.load
  • Leia isso para aprender como reverter funções nativas

Outros truques

{% content-ref url="content-protocol.md" %} content-protocol.md {% endcontent-ref %}

HackenProof é o lar de todas as recompensas por bugs de criptografia.

Seja recompensado sem atrasos
As recompensas do HackenProof são lançadas apenas quando os clientes depositam o orçamento de recompensa. Você receberá a recompensa após a verificação do bug.

Adquira experiência em pentesting web3
Protocolos de blockchain e contratos inteligentes são a nova Internet! Domine a segurança web3 em seus dias de ascensão.

Torne-se a lenda do hacker web3
Ganhe pontos de reputação com cada bug verificado e conquiste o topo do leaderboard semanal.

Cadastre-se no HackenProof e comece a ganhar com seus hacks!

{% embed url="https://hackenproof.com/register" %}

Análise Dinâmica

Primeiro, você precisa de um ambiente onde possa instalar o aplicativo e todo o ambiente (certificado CA do Burp, Drozer e Frida principalmente). Portanto, um dispositivo com root (emulado ou não) é extremamente recomendado.

Análise Dinâmica Online

Você pode criar uma conta gratuita em: https://appetize.io/. Essa plataforma permite que você faça upload e execute APKs, sendo útil para ver como um APK está se comportando.

Você pode até ver os logs do seu aplicativo na web e se conectar por meio do adb.

Graças à conexão ADB, você pode usar o Drozer e o Frida nos emuladores.

Análise Dinâmica Local

Você pode usar algum emulador como:

  • Android Studio (Você pode criar dispositivos x86 e arm, e de acordo com este últimas versões x86 suportam bibliotecas ARM sem precisar de um emulador ARM lento).
  • Se você quiser tentar instalar uma imagem e depois excluí-la, você pode fazer isso no Windows:C:\Users\<User>\AppData\Local\Android\sdk\system-images\ ou Mac: /Users/myeongsic/Library/Android/sdk/system-image
  • Este é o principal emulador que recomendo usar e você pode aprender a configurá-lo nesta página.
  • Genymotion (Versão gratuita: Personal Edition, você precisa criar uma conta. É recomendado baixar a versão COM VirtualBox para evitar erros potenciais.)
  • Nox (Grátis, mas não suporta Frida ou Drozer).

{% hint style="info" %} Ao criar um novo emulador em qualquer plataforma, lembre-se de que quanto maior a tela, mais lento o emulador será executado. Portanto, selecione telas pequenas, se possível. {% endhint %}

Como a maioria das pessoas usará o Genymotion, observe esse truque. Para instalar serviços do Google (como a AppStore), você precisa clicar no botão marcado em vermelho na seguinte imagem:

Além disso, observe que na configuração da VM Android no Genymotion você pode selecionar o modo de rede Bridge (isso será útil se você estiver se conectando à VM Android de uma VM diferente com as ferramentas).

Ou você pode usar um dispositivo físico (você precisa ativar as opções de depuração e será legal se você puder fazer root nele):

  1. Configurações.
  2. (A partir do Android 8.0) Selecione Sistema.
  3. Selecione Sobre o telefone.
  4. Pressione Número da versão 7 vezes.
  5. Volte e você encontrará as Opções do desenvolvedor.

Depois de instalar o aplicativo, a primeira coisa que você deve fazer é testá-lo e investigar o que ele faz, como funciona e se familiarizar com ele.
Sugiro realizar essa análise dinâmica inicial usando a análise dinâmica do MobSF + pidcat, para que você possa aprender como o aplicativo funciona enquanto o MobSF captura muitos dados interessantes que você pode revisar posteriormente.

Vazamento de dados não intencional

Registro

Muitas vezes, os desenvolvedores deixam informações de depuração públicas. Portanto, qualquer aplicativo com permissão READ_LOGS pode acessar esses registros e obter informações sensíveis por meio deles.
Ao navegar pelo aplicativo, use o pidcat(Recomendado, é mais fácil de usar e ler) ou adb logcat para ler os registros criados e procurar informações sensíveis.

{% hint style="warning" %} Observe que, a partir das versões posteriores ao Android 4.0, os aplicativos só podem acessar seus próprios registros. Portanto, os aplicativos não podem acessar os registros de outros aplicativos.
De qualquer forma, ainda é recomendado não registrar informações sensíveis. {% endhint %}

Armazenamento em buffer de cópia/colagem

O Android fornece um framework baseado em clipboard para fornecer a função de copiar e colar em aplicativos Android. Mas isso cria um problema sério quando algum outro aplicativo pode acessar a área de transferência que contém dados sensíveis. A função de copiar/colar deve ser desativada para a parte sensível do aplicativo. Por exemplo, desative a cópia de detalhes do cartão de crédito.

Registros de falhas

Se um aplicativo falhar durante a execução e salvar registros em algum lugar, esses registros podem ser úteis para um atacante, especialmente nos casos em que o aplicativo Android não pode ser engenharia reversa. Portanto, evite criar registros quando o aplicativo falhar e, se os registros forem enviados pela rede, verifique se eles são enviados por um canal SSL.
Como pentester, tente dar uma olhada nesses registros.

Dados de análise enviados para terceiros

A maioria dos aplicativos usa outros serviços em seu aplicativo, como o Google Adsense, mas às vezes eles vazam alguns dados sensíveis ou dados que não precisam ser enviados para esse serviço. Isso pode acontecer porque o desenvolvedor não implementou o recurso corretamente. Você pode verificar interceptando o tráfego do aplicativo e ver se algum dado sensível é enviado para terceiros ou não.

Bancos de dados SQLite

A maioria dos aplicativos usará bancos de dados SQLite internos para salvar informações. Durante o pentest, dê uma olhada nos bancos de dados criados, nos nomes das tabelas e colunas e em todos os dados salvos, pois você pode encontrar informações sensíveis (o que seria uma vulnerabilidade).
Os bancos de dados devem estar localizados em /data/data/o.nome.do.pacote/databases, como /data/data/com.mwr.example.sieve/databases

Se o banco de dados estiver salvando informações confidenciais e estiver criptografado, mas você conseguir encontrar a senha dentro do aplicativo, ainda é uma vulnerabilidade.

Enumere as tabelas usando .tables e enumere as colunas das tabelas usando .schema <nome_da_tabela>

Drozer (Explorando Atividades, Provedores de Conteúdo e Serviços)

Drozer permite que você assuma o papel de um aplicativo Android e interaja com outros aplicativos. Ele pode fazer tudo o que um aplicativo instalado pode fazer, como usar o mecanismo de Comunicação entre Processos (IPC) do Android e interagir com o sistema operacional subjacente. Do Guia do Drozer.
Drozer é uma ferramenta útil para explorar atividades exportadas, serviços exportados e Provedores de Conteúdo, como você aprenderá nas seções a seguir.

Explorando atividades exportadas

Leia isso se quiser relembrar o que é uma Atividade Android.
Lembre-se também de que o código de uma atividade começa com o método onCreate.

Burlando a autorização

Quando uma atividade é exportada, você pode invocar sua tela de um aplicativo externo. Portanto, se uma atividade com informações sensíveis for exportada, você poderá burlar os mecanismos de autenticação para acessá-la.
Aprenda como explorar atividades exportadas com o Drozer.

Você também pode iniciar uma atividade exportada pelo adb:

  • PackageName é com.example.demo
  • ActivityName exportada é com.example.test.MainActivity
adb shell am start -n com.example.demo/com.example.test.MainActivity

NOTA: O MobSF detectará como malicioso o uso de singleTask/singleInstance como android:launchMode em uma atividade, mas devido a isso, aparentemente isso é apenas perigoso em versões antigas (versões de API < 21).

{% hint style="info" %} Observe que uma violação de autorização nem sempre é uma vulnerabilidade, isso dependerá de como a violação funciona e quais informações são expostas. {% endhint %}

Vazamento de informações sensíveis

As atividades também podem retornar resultados. Se você conseguir encontrar uma atividade exportada e desprotegida que chame o método setResult e retorne informações sensíveis, haverá um vazamento de informações sensíveis.

Explorando Provedores de Conteúdo - Acessando e manipulando informações sensíveis

Leia isso se você quiser relembrar o que é um Provedor de Conteúdo.
Os provedores de conteúdo são basicamente usados para compartilhar dados. Se um aplicativo tiver provedores de conteúdo disponíveis, você poderá extrair dados sensíveis deles. Também é interessante testar possíveis injeções de SQL e travessias de caminho, pois eles podem ser vulneráveis.
Aprenda como explorar Provedores de Conteúdo com o Drozer.

Explorando Serviços

Leia isso se você quiser relembrar o que é um Serviço.
Lembre-se de que as ações de um serviço começam no método onStartCommand.

Um serviço é basicamente algo que pode receber dados, processá-los e retornar (ou não) uma resposta. Portanto, se um aplicativo estiver exportando alguns serviços, você deve verificar o código para entender o que ele está fazendo e testá-lo dinamicamente para extrair informações confidenciais, contornar medidas de autenticação...
Aprenda como explorar Serviços com o Drozer.

Explorando Receptores de Transmissão

Leia isso se você quiser relembrar o que é um Receptor de Transmissão.
Lembre-se de que as ações de um Receptor de Transmissão começam no método onReceive.

Um receptor de transmissão estará aguardando um tipo de mensagem. Dependendo de como o receptor manipula a mensagem, ele pode ser vulnerável.
Aprenda como explorar Receptores de Transmissão com o Drozer.

Explorando Esquemas / Deep links

Você pode procurar deep links manualmente, usando ferramentas como o MobSF ou scripts como este.
Você pode abrir um esquema declarado usando o adb ou um navegador:

adb shell am start -a android.intent.action.VIEW -d "scheme://hostname/path?param=value" [your.package.name]

Obsere que você pode omitir o nome do pacote e o celular irá automaticamente chamar o aplicativo que deve abrir esse link.

<!-- Browser regular link -->
<a href="scheme://hostname/path?param=value">Click me</a>
<!-- fallback in your url you could try the intent url -->
<a href="intent://hostname#Intent;scheme=scheme;package=your.package.name;S.browser_fallback_url=http%3A%2F%2Fwww.example.com;end">with alternative</a>

Código executado

Para encontrar o código que será executado no aplicativo, vá para a atividade chamada pelo deeplink e procure a função onNewIntent.

Informações sensíveis

Sempre que encontrar um deeplink, verifique se ele não está recebendo dados sensíveis (como senhas) por meio de parâmetros de URL, pois qualquer outro aplicativo poderia se passar pelo deeplink e roubar esses dados!

Parâmetros no caminho

Você também deve verificar se algum deeplink está usando um parâmetro dentro do caminho do URL, como: https://api.example.com/v1/users/{username}, nesse caso você pode forçar uma travessia de caminho acessando algo como: example://app/users?username=../../unwanted-endpoint%3fparam=value.
Observe que se você encontrar os endpoints corretos dentro do aplicativo, poderá causar um Redirecionamento Aberto (se parte do caminho for usado como nome de domínio), assumir a conta (se puder modificar os detalhes dos usuários sem token CSRF e o endpoint vulnerável usar o método correto) e qualquer outra vulnerabilidade. Mais informações sobre isso aqui.

Mais exemplos

Um relatório interessante de recompensa por bugs sobre links (/.well-known/assetlinks.json).

Proteção Insuficiente da Camada de Transporte

  • Falta de Inspeção de Certificado: O aplicativo Android não verifica a identidade do certificado apresentado a ele. A maioria dos aplicativos ignora os avisos e aceita qualquer certificado autoassinado apresentado. Alguns aplicativos, em vez disso, passam o tráfego por uma conexão HTTP.
  • Negociação de Handshake Fraca: O aplicativo e o servidor realizam um handshake SSL/TLS, mas usam uma suíte de criptografia insegura que é vulnerável a ataques MITM. Assim, qualquer atacante pode facilmente descriptografar essa conexão.
  • Vazamento de Informações de Privacidade: Na maioria das vezes, acontece que os aplicativos fazem autenticação por meio de um canal seguro, mas todas as outras conexões são feitas por meio de um canal não seguro. Isso não adiciona segurança ao aplicativo, pois dados sensíveis restantes, como cookie de sessão ou dados do usuário, podem ser interceptados por um usuário mal-intencionado.

Dos 3 cenários apresentados, vamos discutir como verificar a identidade do certificado. Os outros 2 cenários dependem da configuração do TLS do servidor e se o aplicativo envia dados não criptografados. O pentester deve verificar por conta própria a configuração do TLS do servidor (aqui) e detectar se alguma informação confidencial é enviada por um canal não criptografado/vulnerável.
Mais informações sobre como descobrir e corrigir esse tipo de vulnerabilidade aqui.

SSL Pinning

Por padrão, ao fazer uma conexão SSL, o cliente (aplicativo Android) verifica se o certificado do servidor possui uma cadeia de confiança verificável até um certificado confiável (raiz) e corresponde ao nome do host solicitado. Isso leva ao problema de Ataques Man-in-the-Middle (MITM).
No SSL Pinning, um aplicativo Android contém o certificado do servidor e só transmite dados se o mesmo certificado for apresentado.
É recomendado aplicar o SSL Pinning nos sites onde informações sensíveis serão enviadas.

Inspeção do tráfego HTTP

Antes de tudo, você deve (deve) instalar o certificado da ferramenta de proxy que você vai usar, provavelmente o Burp. Se você não instalar o certificado CA da ferramenta de proxy, provavelmente não verá o tráfego criptografado no proxy.
Por favor, leia este guia para aprender como instalar um certificado CA personalizado.

Para aplicativos direcionados ao API Level 24+ não é suficiente instalar o certificado CA do Burp no dispositivo. Para contornar essa nova proteção, você precisa modificar o arquivo de Configuração de Segurança de Rede. Portanto, você pode modificar esse arquivo para autorizar seu certificado CA ou pode ler esta página para um tutorial sobre como forçar o aplicativo a aceitar novamente todos os certificados instalados no dispositivo.

SSL Pinning

Já discutimos o que é o SSL Pinning apenas 2 parágrafos antes. Quando implementado em um aplicativo, você precisará contorná-lo para inspecionar o tráfego HTTPS ou não o verá.
Aqui vou apresentar algumas opções que usei para contornar essa proteção:

  • Modificar automaticamente o apk para contornar o SSL Pinning com apk-mitm. A melhor vantagem dessa opção é que você não precisará de acesso root para contornar o SSL Pinning, mas precisará excluir o aplicativo e reinstalar o novo, e isso nem sempre funcionará.
  • Você pode usar o Frida (discutido abaixo) para contornar essa proteção. Aqui está um guia para usar Burp+Frida+Genymotion: https://spenkk.github.io/bugbounty/Configuring-Frida-with-Burp-and-GenyMotion-to-bypass-SSL-Pinning/
  • Você também pode tentar contornar automaticamente o SSL Pinning usando objection: objection --gadget com.package.app explore --startup-command "android sslpinning disable"
  • Você também pode tentar contornar automaticamente o SSL Pinning usando a análise dinâmica do MobSF (explicada abaixo)
  • Se você ainda acha que há algum tráfego que não está capturando, pode tentar encaminhar o tráfego para o burp usando iptables. Leia este blog: https://infosecwriteups.com/bypass-ssl-pinning-with-ip-forwarding-iptables-568171b52b62

Vulnerabilidades Web comuns

Observe que nesta etapa você deve procurar por vulnerabilidades web comuns. Muitas informações sobre vulnerabilidades web podem ser encontradas neste livro, então não vou mencioná-las aqui.

Frida

Kit de instrumentação dinâmica para desenvolvedores, engenheiros reversos e pesquisadores de segurança. Saiba mais em www.frida.re.
É incrível, você pode acessar o aplicativo em execução e interceptar métodos em tempo de execução para alterar o comportamento, alterar valores, extrair valores, executar código diferente...
Se você deseja fazer pentest em aplicativos Android, precisa saber como usar o Frida.

Aprenda a usar o Frida: Tutorial do Frida
Algumas "GUI" para ações com o Frida: https://github.com/m0bilesecurity/RMS-Runtime-Mobile-Security
Algumas outras abstrações baseadas no Frida: https://github.com/sensepost/objection , https://github.com/dpnishant/appmon
Você pode encontrar alguns scripts incríveis do Frida aqui: https://codeshare.frida.re/

Analisador de Aplicativos Android

Esta ferramenta pode ajudá-lo a gerenciar diferentes ferramentas durante a análise dinâmica: https://github.com/NotSoSecure/android_application_analyzer

Injeção de Intenção

Essa vulnerabilidade se assemelha ao Redirecionamento Aberto na segurança da web. Como a classe Intent é Parcelable, objetos pertencentes a essa classe podem ser passados como dados extras em outro objeto Intent.
Muitos desenvolvedores fazem uso dessa funcionalidade e criam componentes proxy (atividades, receptores de transmissão e serviços) que recebem uma Intenção incorporada e a passam para métodos perigosos como startActivity(...), sendBroadcast(...), etc.
Isso é perigoso porque um invasor pode forçar o aplicativo a iniciar um componente não exportado que não pode ser iniciado diretamente de outro aplicativo, ou conceder ao invasor acesso aos seus provedores de conteúdo. WebView às vezes também altera um URL de uma string para um objeto Intent, usando o método Intent.parseUri(...), e o passa para startActivity(...).

Injeções no Lado do Cliente Android e outros

Provavelmente você já conhece esse tipo de vulnerabilidade na Web. Você deve ter cuidado especial com essas vulnerabilidades em um aplicativo Android:

  • Injeção de SQL: Ao lidar com consultas dinâmicas ou provedores de conteúdo, verifique se está usando consultas parametrizadas.
  • Injeção de JavaScript (XSS): Verifique se o suporte a JavaScript e plugins está desativado para qualquer WebView (desativado por padrão). Mais informações aqui.
  • Inclusão de Arquivo Local: Verifique se o acesso ao sistema de arquivos está desativado para qualquer WebView (ativado por padrão) (webview.getSettings().setAllowFileAccess(false);). Mais informações aqui.
  • Cookies eternos: Em vários casos, quando o aplicativo Android encerra a sessão, o cookie não é revogado ou pode até ser salvo no disco.
  • Flag Segura em cookies

HackenProof é o lar de todas as recompensas por bugs de criptografia.

Seja recompensado sem atrasos
As recompensas do HackenProof são lançadas apenas quando os clientes depositam o orçamento de recompensa. Você receberá a recompensa após a verificação do bug.

Adquira experiência em pentesting web3
Protocolos de blockchain e contratos inteligentes são a nova Internet! Domine a segurança web3 em seus dias de ascensão.

Torne-se a lenda do hacker web3
Ganhe pontos de reputação com cada bug verificado e conquiste o topo do leaderboard semanal.

Cadastre-se no HackenProof comece a ganhar com seus hacks!

{% embed url="https://hackenproof.com/register" %}

Análise Automática

MobSF

Análise estática

Avaliação de vulnerabilidades do aplicativo usando uma interface web agradável. Você também pode realizar análise dinâmica (mas precisa preparar o ambiente).

docker pull opensecurity/mobile-security-framework-mobsf
docker run -it -p 8000:8000 opensecurity/mobile-security-framework-mobsf:latest

Observe que o MobSF pode analisar aplicativos Android (apk), IOS (ipa) e Windows (apx) (os aplicativos do Windows devem ser analisados a partir de um MobSF instalado em um host Windows).
Além disso, se você criar um arquivo ZIP com o código-fonte de um aplicativo Android ou IOS (vá até a pasta raiz do aplicativo, selecione tudo e crie um arquivo ZIP), ele também poderá analisá-lo.

O MobSF também permite que você faça a comparação/diferenciação de análises e integre o VirusTotal (você precisará configurar sua chave de API em MobSF/settings.py e ativá-la: VT_ENABLED = TRUE VT_API_KEY = <Sua chave de API> VT_UPLOAD = TRUE). Você também pode definir VT_UPLOAD como False, então o hash será enviado em vez do arquivo.

Análise dinâmica assistida com o MobSF

O MobSF também pode ser muito útil para análise dinâmica no Android, mas nesse caso você precisará instalar o MobSF e o genymotion em seu host (uma VM ou Docker não funcionará). Observação: você precisa iniciar primeiro uma VM no genymotion e depois o MobSF.
O analisador dinâmico do MobSF pode:

  • Extrair dados do aplicativo (URLs, logs, área de transferência, capturas de tela feitas por você, capturas de tela feitas pelo "Exported Activity Tester", e-mails, bancos de dados SQLite, arquivos XML e outros arquivos criados). Tudo isso é feito automaticamente, exceto pelas capturas de tela, você precisa pressionar quando desejar uma captura de tela ou pressionar "Exported Activity Tester" para obter capturas de tela de todas as atividades exportadas.
  • Capturar tráfego HTTPS
  • Usar o Frida para obter informações em tempo de execução

A partir das versões do Android > 5, ele iniciará automaticamente o Frida e definirá as configurações globais de proxy para capturar o tráfego. Ele capturará apenas o tráfego do aplicativo testado.

Frida

Por padrão, ele também usará alguns scripts do Frida para burlar o SSL pinning, detecção de root e detecção de depurador, e para monitorar APIs interessantes.
O MobSF também pode invocar atividades exportadas, capturar capturas de tela delas e salvá-las para o relatório.

Para iniciar o teste dinâmico, pressione o botão verde: "Start Instrumentation". Pressione "Frida Live Logs" para ver os logs gerados pelos scripts do Frida e "Live API Monitor" para ver todas as invocações aos métodos conectados, argumentos passados e valores retornados (isso aparecerá após pressionar "Start Instrumentation").
O MobSF também permite que você carregue seus próprios scripts do Frida (para enviar os resultados de seus scripts do Frida para o MobSF, use a função send()). Ele também possui vários scripts pré-escritos que você pode carregar (você pode adicionar mais em MobSF/DynamicAnalyzer/tools/frida_scripts/others/), basta selecioná-los, pressionar "Load" e pressionar "Start Instrumentation" (você poderá ver os logs desses scripts dentro de "Frida Live Logs").

Além disso, você tem algumas funcionalidades auxiliares do Frida:

  • Enumerar Classes Carregadas: Ele imprimirá todas as classes carregadas
  • Capturar Strings: Ele imprimirá todas as strings capturadas durante o uso do aplicativo (muito barulhento)
  • Comparação de Strings Capturadas: Pode ser muito útil. Ele mostrará as 2 strings sendo comparadas e se o resultado foi Verdadeiro ou Falso.
  • Enumerar Métodos de Classe: Insira o nome da classe (como "java.io.File") e ele imprimirá todos os métodos da classe.
  • Pesquisar Padrão de Classe: Pesquisar classes por padrão
  • Traçar Métodos de Classe: Traçar uma classe inteira (ver entradas e saídas de todos os métodos da classe). Lembre-se de que, por padrão, o MobSF traça vários métodos interessantes da API do Android.

Depois de selecionar o módulo auxiliar que deseja usar, você precisa pressionar "Start Intrumentation" e verá todas as saídas em "Frida Live Logs".

Shell

O MobSF também oferece um shell com alguns comandos adb, comandos do MobSF e comandos comuns do shell na parte inferior da página de análise dinâmica. Alguns comandos interessantes:

help
shell ls
activities
exported_activities
services
receivers

Ferramentas HTTP

Quando o tráfego HTTP é capturado, você pode ver uma visualização feia do tráfego capturado na parte inferior "HTTP(S) Traffic" ou uma visualização mais agradável no botão verde "Start HTTPTools". A partir da segunda opção, você pode enviar as solicitações capturadas para proxies como o Burp ou o Owasp ZAP.
Para fazer isso, ligue o Burp --> desligue o Intercept --> no MobSB HTTPTools selecione a solicitação --> pressione "Send to Fuzzer" --> selecione o endereço do proxy (http://127.0.0.1:8080\).

Após concluir a análise dinâmica com o MobSF, você pode pressionar "Start Web API Fuzzer" para fuzz http requests e procurar por vulnerabilidades.

{% hint style="info" %} Após realizar uma análise dinâmica com o MobSF, as configurações do proxy podem estar incorretas e você não poderá corrigi-las pela GUI. Você pode corrigir as configurações do proxy fazendo:

adb shell settings put global http_proxy :0

{% endhint %}

Análise Dinâmica Assistida com Inspeckage

Você pode obter a ferramenta em Inspeckage.
Esta ferramenta usa alguns Hooks para informar o que está acontecendo no aplicativo enquanto você realiza uma análise dinâmica.

{% content-ref url="inspeckage-tutorial.md" %} inspeckage-tutorial.md {% endcontent-ref %}

Yaazhini

Esta é uma ótima ferramenta para realizar análise estática com uma interface gráfica

Qark

Esta ferramenta é projetada para procurar várias vulnerabilidades de segurança relacionadas a aplicativos Android, seja no código-fonte ou em APKs empacotados. A ferramenta também é capaz de criar um APK implantável "Proof-of-Concept" e comandos ADB para explorar algumas das vulnerabilidades encontradas (atividades expostas, intents, tapjacking...). Assim como o Drozer, não é necessário fazer root no dispositivo de teste.

pip3 install --user qark  # --user is only needed if not using a virtualenv
qark --apk path/to/my.apk
qark --java path/to/parent/java/folder
qark --java path/to/specific/java/file.java

ReverseAPK

  • Exibe todos os arquivos extraídos para fácil referência
  • Decompila automaticamente arquivos APK para formato Java e Smali
  • Analisa o AndroidManifest.xml em busca de vulnerabilidades e comportamentos comuns
  • Análise estática do código-fonte em busca de vulnerabilidades e comportamentos comuns
  • Informações do dispositivo
  • Intents
  • Execução de comandos
  • Referências do SQLite
  • Referências de log
  • Provedores de conteúdo
  • Receptores de broadcast
  • Referências de serviço
  • Referências de arquivo
  • Referências de criptografia
  • Segredos codificados
  • URLs
  • Conexões de rede
  • Referências SSL
  • Referências do WebView
reverse-apk relative/path/to/APP.apk

SUPER Android Analyzer

SUPER é um aplicativo de linha de comando que pode ser usado no Windows, MacOS X e Linux, que analisa arquivos .apk em busca de vulnerabilidades. Ele faz isso descompactando os APKs e aplicando uma série de regras para detectar essas vulnerabilidades.

Todas as regras estão centralizadas em um arquivo rules.json, e cada empresa ou testador pode criar suas próprias regras para analisar o que precisam.

Baixe os binários mais recentes na página de download

super-analyzer {apk_file}

StaCoAn

StaCoAn é uma ferramenta multiplataforma que auxilia desenvolvedores, caçadores de recompensas por bugs e hackers éticos a realizar análise estática de código em aplicativos móveis*.

O conceito é que você arraste e solte o arquivo do seu aplicativo móvel (um arquivo .apk ou .ipa) na aplicação StaCoAn e ela irá gerar um relatório visual e portátil para você. Você pode ajustar as configurações e listas de palavras para obter uma experiência personalizada.

Baixe a versão mais recente:

./stacoan

AndroBugs

O AndroBugs Framework é um sistema de análise de vulnerabilidades do Android que ajuda desenvolvedores ou hackers a encontrar possíveis vulnerabilidades de segurança em aplicativos Android.
Versões para Windows

python androbugs.py -f [APK file]
androbugs.exe -f [APK file]

Androwarn

Androwarn é uma ferramenta cujo objetivo principal é detectar e alertar o usuário sobre possíveis comportamentos maliciosos desenvolvidos por um aplicativo Android.

A detecção é realizada com a análise estática do bytecode Dalvik do aplicativo, representado como Smali, com a biblioteca androguard.

Essa ferramenta procura por comportamentos comuns de aplicativos "ruins", como: exfiltração de identificadores de telefonia, interceptação de fluxo de áudio/vídeo, modificação de dados PIM, execução de código arbitrário...

python androwarn.py -i my_application_to_be_analyzed.apk -r html -v 3

MARA Framework

MARA é um Framework de Reverse engineering e Análise de Aplicações Móveis. É uma ferramenta que reúne ferramentas comumente usadas para reverse engineering e análise de aplicativos móveis, para auxiliar nos testes de segurança de aplicativos móveis em relação às ameaças de segurança móvel da OWASP. Seu objetivo é tornar essa tarefa mais fácil e amigável para desenvolvedores de aplicativos móveis e profissionais de segurança.

Ele é capaz de:

Koodous

Útil para detectar malware: https://koodous.com/

HackenProof é o lar de todas as recompensas por bugs de criptografia.

Seja recompensado sem atrasos
As recompensas do HackenProof são lançadas apenas quando os clientes depositam o orçamento de recompensa. Você receberá a recompensa após a verificação do bug.

Adquira experiência em pentesting web3
Protocolos de blockchain e contratos inteligentes são a nova Internet! Domine a segurança web3 em seus dias de ascensão.

Torne-se a lenda do hacker web3
Ganhe pontos de reputação com cada bug verificado e conquiste o topo do leaderboard semanal.

Cadastre-se no HackenProof comece a ganhar com seus hacks!

{% embed url="https://hackenproof.com/register" %}

Ofuscando/Desofuscando código

Observe que, dependendo do serviço e da configuração que você usa para ofuscar o código, os segredos podem ou não ser ofuscados.

ProGuard

ProGuard é uma ferramenta de linha de comando de código aberto que encolhe, otimiza e ofusca o código Java. Ele é capaz de otimizar o bytecode, bem como detectar e remover instruções não utilizadas. O ProGuard é um software gratuito e é distribuído sob a Licença Pública Geral GNU, versão 2.

O ProGuard é distribuído como parte do Android SDK e é executado ao compilar o aplicativo no modo de lançamento.

De: https://en.wikipedia.org/wiki/ProGuard_(software)

DexGuard

Encontre um guia passo a passo para desofuscar o apk em https://blog.lexfo.fr/dexguard.html

(Do guia) Da última vez que verificamos, o modo de operação do Dexguard era:

  • carregar um recurso como um InputStream;
  • alimentar o resultado para uma classe herdando de FilterInputStream para descriptografá-lo;
  • fazer alguma ofuscação inútil para desperdiçar alguns minutos do tempo de um reverser;
  • alimentar o resultado descriptografado para um ZipInputStream para obter um arquivo DEX;
  • finalmente carregar o DEX resultante como um Recurso usando o método loadDex.

DeGuard

DeGuard reverte o processo de ofuscação realizado pelas ferramentas de ofuscação do Android. Isso permite inúmeras análises de segurança, incluindo inspeção de código e previsão de bibliotecas.

Você pode fazer upload de um APK ofuscado para a plataforma deles.

Simplify

É um desofuscador genérico para Android. Simplify executa virtualmente um aplicativo para entender seu comportamento e, em seguida, tenta otimizar o código para que ele se comporte de forma idêntica, mas seja mais fácil de entender para um humano. Cada tipo de otimização é simples e genérico, portanto, não importa qual seja o tipo específico de ofuscação usado.

APKiD

APKiD fornece informações sobre como um APK foi feito. Ele identifica muitos compiladores, empacotadores, ofuscadores e outras coisas estranhas. É o PEiD para Android.

Manual

Leia este tutorial para aprender alguns truques sobre como reverter a ofuscação personalizada

Laboratórios

Androl4b

AndroL4b é uma máquina virtual de segurança Android baseada no ubuntu-mate que inclui a coleção dos últimos frameworks, tutoriais e laboratórios de diferentes geeks e pesquisadores de segurança para engenharia reversa e análise de malware.

OWASP

{% embed url="https://github.com/OWASP/owasp-mstg%0Ahttps://mobile-security.gitbook.io/mobile-security-testing-guide/ios-testing-guide/0x06g-testing-network-communication" %}

Repositórios Git

https://github.com/riddhi-shree/nullCommunity/tree/master/Android
https://www.youtube.com/watch?v=PMKnPaGWxtg&feature=youtu.be&ab_channel=B3nacSec

Referências

Para mais informações, visite:

Para Testar

HackenProof é o lar de todas as recompensas por bugs de criptografia.

Seja recompensado sem atrasos
As recompensas do HackenProof são lançadas apenas quando seus clientes depositam o orçamento de recompensa. Você receberá a recompensa após a verificação do bug.

Adquira experiência em pentesting web3
Protocolos de blockchain e contratos inteligentes são a nova Internet! Domine a segurança web3 em seus dias de ascensão.

Torne-se uma lenda hacker web3
Ganhe pontos de reputação com cada bug verificado e conquiste o topo do leaderboard semanal.

Cadastre-se no HackenProof e comece a ganhar com seus hacks!

{% embed url="https://hackenproof.com/register" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥