Mobile AppSec World. Страница 12
1271
@mobile_appsec_world
Новости из мира безопасности мобильных приложений, а так же интересные статьи, обзоры инструментов, доклады, митапы и многое другое.
-
Mobile AppSec World
Демо нашего инструмента для динамического анализа мобильных приложений - Stingray Всем привет! Как многие из вас знают, я занимаюсь разработкой инструмента по динамическому анализу мобильных приложений под названием Стингрей. Недавно мы выпустили большое обновление и я подумал, что мне хотелось бы рассказать о том, что наш продукт вообще умеет, как работает и какие проблемы призван решить. В связи с этим вопрос, было бы вам интересно послушать про то, что мы делаем? Предполагается свободный формат, без официальных введений, маркетинга, рекламы и прочего, просто я расскажу про то, чем мы занимаемся каждый день и отвечу на вопросы, если они будут. Ниже прикреплю голосование и если будет интерес, то в ближайшее время проведем небольшое демо/рассказ о наших приключениях и пообщаемся немного за безопасность приложений =) Всех с понедельником и хорошей, продуктивной работы! #demo #stingray #poll -
Mobile AppSec World
Статья от OverSecured - Android security checklist: theft of arbitrary files Сегодня прекрасный день на контент, несмотря на то, что выходной. Вышла новая статья от OverSecured, на этот раз про типичные уязвимости при работе с файлами. В статье разобраны основные недостатки приложений, которые позволяют получить доступ к внутренним файлам приложения, которые по моему опыту нередко хранят в себе много интересной информации в открытом виде. Ну и в дополнении, одна из предыдущих статей про уязвимости в WebView дополнилась еще одним пунктом, на который точно стоит обратить внимание. Как обычно (спасибо автору @bagipro за это), статья содержит детальные описания, примеры кода, реальные срабатывания и даже несколько PoC для эксплуатации. Люблю такие статейки. Всем приятного чтения и хороших выходных! #Oversecured #android #files #vulnerability #filestheft -
Mobile AppSec World
Доклады о мобильной безопасности с Positive Hack Days Как вы знаете, на неделе прошла конференция Positive Hack Days и на ней были доклады про безопасность мобильных приложений. Я ещё не все разобрал, но вот парочка достаточно интересных, которые можно посмотреть уже сейчас: - Интервью эксперта о безопасности мобильных приложений Достаточно интересный разговор про безопасность мобилок, текущую ситуацию с магазинами, основные вектора угроз и всякое такое. Послушать, как подкаст вполне. - Уязвимое мобильное приложение AllSafe глазами аналитика Доклад от аналитиков Appscreener (статический анализатор), про уязвимое приложение и разбор нескольких уязвимостей в нем, как искать и как эксплуатировать: * Sql Injection * Arbitrary code execution * Insecure Content Provider А вот и сам код приложения. Что приятно, автор на каждый «флаг» дает ссылки на статьи/репорты о реально найденных подобных багах. По мере просмотра, если найду что-то интересное из докладов, обязательно расскажу :) #phd #video #mobile -
Реклама
-
Mobile AppSec World
Митап посвящённый переделке MASVS и MSTG Как я несколько раз уже писал, сейчас идет активная работа над переработкой контента в основных документах OWASP по мобилкам(MSTG и MASVS), чтобы сделать их более привязанными к реальности и взаимодополняющими друг друга, а так же добавить немного автоматизации при работе с ними. И вот, скоро, 18 августа в 18:30 PM (GMT-4) пройдет митап, посвященный текущему статусу переработки, покажут, что получается, расскажут про целевое видение и дальнейшие планы. К сожалению, по Москве это 1:30 ночи 19-го числа. Не думаю, чоо все готовы будут столько ждать, поэтому хочу попробовать записать его и потом выложить куда-то, думаю, что должно быть достаточно интересно. Ну и чтобы не забыть, можно поставить напоминалку или зарегаться у них на сайте и добавить событие в календарь. #owasp #masvs #meetup Mobile AppSec World Переработка MASVS А тем временем переработка MASVS идет полным ходом, как нам и обещали в конце года. Сейчас в самом разгаре проработка секции CRYPTO, и черновик можно посмотреть вот по этой ссылке Что сказать, многие пункты или убрали или переработали и объединили. Например самый первый пункт теперь объединяет в себе все best practice по реализации шифрования: - not using custom-made crypto. - prefer platform provided crypto APIs (e.g. Apple CryptoKit) - if possible, perform crypto operations inside secure hardware (e.g. iOS SE) - else, consider well-tested & vetted libs: e.g. wolfSSL, boringSSL, openSSL Если раньше это было размазано по нескольким пунктам в качестве отдельных требований, теперь все в одном флаконе. Не уверен, что это позитивно скажется на проверках, но посмотрим, что получится в итоговом документе. В любом случае, приятно, что эти материалы развиваются и модифицируются в форму, в которой их будет удобно применять (надеюсь) #OWASP #MASVS #Creypto
-
Mobile AppSec World
Пятничные новости Продолжая рубрику "Новости мобильной безопасности" за прошедшие недели - новая подборка! Несмотря на праздники и весьма напряженные дни, контента для выпусков и новостей хватает, так что надеюсь каждый найдет для себя что-то полезное, если не успели прочитать все это в канале. Всем хороших выходных и хорошей пятницы! #habr #news #mobileappsec -
Mobile AppSec World
Fuzzing инструмента radare2 в Kubernetes Весьма занятная статья вышла про увеличение скорости фаззинга используя кубер. Автор реализовал (а вернее взял из предыдущего исследования) небольшой блок кода, который рандомно меняет последовательность бит в бинарном файле. После, измененный бинарный файл отправляется в radare2 и отслеживаются падения, то есть, удалось ли обработать файл или нет. Ну и всё это развернуто в кубе и гоняется на каждый релиз. Вообще, несмотря на кажущуюся сложность, статья написана весьма неплохо и читается очень легко. #fuzzing #radare2 #kuber -
Mobile AppSec World
Смотреть трансляцию Positive Hack Days бесплатно и без смс можно здесь - https://event.phdays.com/ru. Есть удобный фильтр по зонам. Доклады уже идут! -
Mobile AppSec World
Oversecured - бесплатные сканы! Спасибо, @bagipro за возможность посканить разные приложения! Oversecured снова открывает возможность бесплатного сканирования 2-х приложений! Налетай, покупай :) #oversecured #sast -
Mobile AppSec World
Итак, Mobius не за горами! Вас ждут три дня докладов, воркшопов, круглых столов и дискуссий обо всем, чем живет мобильная разработка. Конференция пройдет 25–27 мая, на 80% в онлайне, но в этот раз будет еще и offline-день. 22 июня в Санкт-Петербурге соберутся все, кто соскучился по живым выступлениям, дискуссионным зонам и тусовкам. Программа online-части уже полностью готова и ждет вас на сайте. Кстати, не забывайте про промокод maw2022JRGpc, который поможет приобрести персональный билет со скидкой.
-
Mobile AppSec World
Пора конференций Ну что же, настает пора конференций, phd, offzone и все остальные) Но и конференции для разработчиков тоже не отстают, вот и коллеги из Мобиус выслали промокод для билетов maw2022JRGpcВозможно, кому-то будет интересно :) -
Mobile AppSec World
Небольшая заметка про маленький, но противный баг, который периодически встречается в приложениях использующих биометрическую аутентификацию -
Mobile AppSec World
Биометрия, как много в этом слове И снова про биометрическую аутентификацию в приложениях и один маленьки нюанс, который точно стоит учитывать при добавлении/анализе биометрии. Отдельное спасибо автору @OxFi5t за готовый frida-скрипт) -
Mobile AppSec World
Найти всё, что скрыто. Поиск чувствительной информации в мобильных приложениях Одной из самых трудоемких задач в процессе анализа приложения (по времени так точно) - это поиск неправильно хранящихся чувствительных данных в приложении, понимание, откуда они там появились и где дальше используются. В своей статье я немного рассказал про наши принципы и подходы к такому поиску, поразмышлял на тему того, как найти более сложные кейсы и как это связать воедино. В секции про правильное хранение получилось добавить немного про шифрование и, думаю, в ближайшее время, я сделаю пост про основы шифрования, что нужно знать, чтобы не допустить простых ошибок во время реализации (по аналогии с SSL Pinning). Надеюсь, что этот материал покажется вам интересным и вы сможете что-то нужное подчерпнуть для анализа или для защиты) Всем хорошего понедельника и продуктивной недели! #habr #sensinfo #blog #crypto -
Mobile AppSec World
Всем любителям Flutter посвящается В последнее время из каждого чата доносится Flutter, Flutter, StepnFlutter. Вот и исследователю попалось приложение, потенциально похожее на зловредное. А во время анализа выяснилось, что написано оно на платформе Andromo, что на самом деле тот же флаттер. Статья разделена на несколько частей, анализ таких приложений в целом (подходы, инструменты и т.д.). И вторая часть про анализ зловредности. Вообще, достаточно познавательная статейка. Как оказалось в итоге, приложение это не малварь, но что-то мне подсказывает, что в скором времени мы ещё увидим статьи о новых типах зловредов, написанных на Dart.. #malware #flutter #reflutter -
Mobile AppSec World
Всё, время вышло :( Кто успел из под впн оформить, молодцы)) -
Реклама
-
Mobile AppSec World
Курс по Burp Suite (пока бесплатно) Очень часто для работы с перехватом трафика используется очень полезный и мощный инструмент - Burp Suite. Это просто швейцарский нож и его возможности очень велики, как из коробки, так и благодаря различным плагинам и возможности написать свои собственные расширения. Сегодня (ещё 20 часов) цена на 8-часовой курс по Burp бесплатно! Название «BUG BOUNTY HUNTING WITH BURP SUITE» обещает много интересного и полезного материала. Проведите выходные с пользой :) #course #burp Ещё можно -
Mobile AppSec World
Ещё несколько Frida snippets В одном из чатов подсмотрел полезную заметку по использованию Frida с несколькими примерами, которые могут помочь в работе. Примеры для С, Android и iOS. Их не сильно много и они довольно общие, но в целом, крайне полезные во время анализа приложения и однозначно стоит их поместить в закладки, а лучше сохранить локально. #frida #android #ios -
Mobile AppSec World
А вот и сам apk от этого прохождения Можно попробовать свои силы)