СВЯТ ЛОГІН «Що можна витягнути з мобільних додатків»
Download as PPTX, PDF0 likes152 views
Online QADay 2024 #2 СВЯТ ЛОГІН «Що можна витягнути з мобільних додатків» https://linktr.ee/qadayua
More Related Content
Similar to СВЯТ ЛОГІН «Що можна витягнути з мобільних додатків» (20)
More from QADay (20)
Recently uploaded (13)
СВЯТ ЛОГІН «Що можна витягнути з мобільних додатків»
- 1. Що можна витягнути з мобільних додатків
- 2. - Head of gangsta QA - Більше 6 рочків тестую на вразливості Web та Mob - Більше 11 рочків в тестуванні - Проводжу навчання по Security - Веду блог по Security testing https://svyat.tech - Веду телеграм канал https://t.me/qa_security Свят Логин
- 6. ВСТУП
- 9. docker kali@kali:~$ sudo apt update kali@kali:~$ kali@kali:~$ sudo apt install -y docker.io kali@kali:~$ kali@kali:~$ sudo systemctl enable docker --now kali@kali:~$ kali@kali:~$ docker https://www.kali.org/docs/containers/installing-docker-on-kali/ https://docs.docker.com/desktop/install/mac-install/
- 10. MobSF sudo docker run -it --rm -p 8000:8000 opensecurity/mobile- security-framework-mobsf:latest https://mobsf.github.io/docs/#/docker git clone https://github.com/MobSF/Mobile-Security-Framework-MobSF.git cd Mobile-Security-Framework-MobSF docker build -t mobsf . docker run -it --rm -p 8000:8000 mobsf
- 13. ВСТУП IOS ● App binary: виконуваний файл, що містить скомпільований (нечитабельний) вихідний код програми. ● Info.plist: інформація про конфігурацію, наприклад ідентифікатор пакета, номер версії та відображувана назва програми. ● Frameworks: список динамічних бібліотек. ● Embedded.mobileprovsion: це сертифікати. File Structure Android ● Classes.dex: файли містять байт-код програми, який може виконуватися на віртуальній машині Dalvik або ART (Android Runtime). ● AndroidManifest.xml: є конфігураційним файлом додатка. Він визначає основні характеристики програми ● meta-inf: Ця папка містить інформацію про сертифікати та підписи APK ● res: це папка, яка містить незкомпільовані ресурси додатка ● assets: це папка, в якій розробники можуть зберігати будь-які нестандартні файли або ресурси ● lib: папка містить нативні бібліотеки, які були написані для платформи Android
- 18. Local Data Storage Android
- 19. Local Data Storage IOS
- 20. ● Хешувати URL (как запроса, так и ответа); ● Хешувати натискання кнопок; ● Хешувати буфер копі / вставки; ● Хешувати проміжні дані; ● Перевіряти функції логування; ● Перевіряти дані аналітики на відправку третім сторонам. Local Data Storage
- 23. Є 2 різні реалізації - Тільки локальна структура аутентифікації (LAContext) - LAContext разом з KeyChain Services Додаток зберігає або секретний токен аутентифікації, або якусь частину секретних даних, що ідентифікують користувача в ланцюжку ключів. Дійсний набір біометричних даних зберігається в безпечному анклаві для розшифровування запису ланцюжка ключа. За рахунок цього не можна обійти на заламаних пристроях MSTG https://mobile-security.gitbook.io/mobile-security-testing-guide/ios-testing-guide/0x06f-testing-local-au thentication Biometric authentication Захист
- 29. Аналіз трафіка
- 30. nuclei -t http/tokenspray -var token=AIzaSyCI0wS69-6XAxCVDKBozccalLz6fRIaCfc