Регуляторика в ИБ

На самом деле, я скажу, что сам достаточно сильно погрузился в регуляторику. Правда, пытаюсь притянуть туда мобильные приложения, но все равно достаточно плотно сижу с разными регламентами и доками.

И вот такие вот семинары/вебинары очень помогают!

Так что спешу вас пригласить!

Запуск iOS в qemu

Еще одна попытка запуска iOS в эмуляции через qemu. При этом, все очень классно описано, все шаги и подводные камни, с которыми столкнулись исследователи. И даже вроде запускается!

Все прошлые репозитории и попытки запустить сколь-нибудь рабочее и предсказуемое поведение у меня ни к чему не привели. Может быть этот вариант будет более рабочим, но все равно верится слабо)

И пока что там только iOS 14. Но надеемся, что это будет отправной точкой для следующих свершений!

Jadx with AI

А тем временем AI все плотнее входят в нашу жизнь :)

Вот, теперь и плагинчик для Jadx подъехал! Очень круто!

https://github.com/zinja-coder/jadx-ai-mcp
#jadx #mcp #ai

Разработка под мобилки это просто? Или же нет?

На самом деле весьма и весьма хороший вопрос. насколько просто сейчас разрабатывать современные приложения под мобильные ОС?

Раньше, как мне кажется, все было сильно проще, вот тебе Java, вот тебе Objective-C, вот теперь мобилка, которая отображает данные с сервера.. 😈
Но сейчас, анализируя современные приложения ты понимаешь, насколько всего за какой-то десяток лет ушла мобильная разработка. Свои фреймворки, технологии, подходы, локальные вычисления, продвинутая логика, абсолютно все, что можно придумать уже есть в мобилках. А еще и огромное количество устройств надо поддерживать, учитывать нюансы разных ОС и их версий и разных форм-факторов (как телефоны с раскрывающимся экраном)..

Я на самом деле поражаюсь, как оставаться в стриме современных технологий. И как один из способов, это, конечно различные ТГ-каналы, которые публикуют новости, какие-то заметки из будней разработки и помогают хотябы не терять нить) А иногда и по безопасности попадаются статьи в таких каналах и тогда приходит понимание, что все это не зря)))

Один из таких каналов, на которые подписан - @dolgo_polo_dev
Как раз последние посты про наш любый SSL Pinning, mTLS и скрытие контента на превью на примере PornHub:
- mTLS / SSL Pinning на пальцах
- Как PornHub бережет твою репутацию

Так что, надеюсь, вам тоже понравится))

Исследование JNI через Frida

Ну и да, к слову о предыдущем посте, многие вещи специально реализуют в нативе, чтобы усложнить анализ.

И для тех, кто хотел бы глубже погрузиться в этот чудесный мир, есть статья, где автор делится советами по детальному анализу поведения нативных методов, с акцентом на использование указателей функций внутри структуры JNIEnv.
Он объясняет, как нативные методы, написанные на C/C++, взаимодействуют с Java-кодом через JNI, а также как с помощью Frida можно получить доступ к структуре JNIEnv и что с его помощью можно сделать.

Звучит страшно, но статья правда хорошая, хоть и небольшая. Осталось только на практике ее как-то применить))

и в дополнение от @DIJIR0:

Небольшой снипет как хукать функции jni в фриде, не гугля индекс каждой функции

потрясающе!

Я частенько говорю о том, что Samsung слишком много себе позволяют когда лезут в разные части Android и переписывают их на свой лад. Но беда в том, что лезут они не только в Android, но и в более глубинные слои. Что из этого выходит? Уязвимости конечно.

Ребята из Quarkslab сделали отличный доклад по эксплуатации уязвимостей в цепочке загрузки Samsung Galaxy A225F. Точка старта - феерическая. Кастомный JPEG парсер, который ребята из Samsung вкрячили в Little Kernel. Конечно же этот парсер содержал уязвимость (или бэкдор? 🌚), которая позволяла выполнять произвольный код. Чем и воспользовались исследователи.

Очень интересный, технический доклад. Рекомендую!

Модификация ядра Android для анализа приложений

Мой опыт пересборки Android-ядра был когда-то давно, когда мне нужно было включить поддержку iptables доя перенаправления трафика в дальнейшем на эмуляторе. Веселое прикоючение на 20 минут, войти и выйти 😉 Особенно, когда делаешь это первый раз)

Но вот такая статья мне бы точно тогда пригодилась!
Автор обещает целый цикл статей, будем следить за ним! По описанию, планирует рассмотреть более продвинутые методы отладки и кастомизации ядра для детального анализа приложений.

Ну а в первой статье он предоставляет пошаговое руководство по сборке и модификации ядра Android, а также по его тестированию в виртуальной среде. Ну и конечно много полезной информации о внутреннем устройстве ядра и прочих хитростей!

Enjoy!

Просто оставлю это здесь :)

спасибо @macsecurity

Enciphers: iOS Application Security

Этот курс предлагает современное учебное лабораторное пособие, которое обеспечивает практическую отработку реальных сценариев различных атак. Обновленное содержание курса гарантирует, что вы изучите новейшие методы и будете оставаться впереди в постоянно развивающейся области безопасности iOS. Благодаря интерактивным занятиям вы сможете глубоко усвоить материал.
Вы изучите все аспекты безопасности iOS что делает курс по-настоящему уникальным.

#cours

И снова любимый Flutter и перехват трафика/Unpinning

Как же все-таки перехватить трафик флаттер-приложений?)

Какие способы помимо reFlutter существуют?))

Очень крутая статья как раз про это. Автор описывает строение Flutter-приложений, как использовать reFlutter и что он делает под капотом. И основная часть про то, как он пытался повторить тоже самое, но при помощи Frida.

Очень много отсылок к разным крутым статьям в процессе рассказа, очень много ссылок в конце, которые тоже крайне полезно почитать!

Так что изучаем и “make Flutter great again!” 🫢

AI заменят нас или все таки нет?

Я тут потихоньку погружаюсь во всякие AI-системы, агентов и прочих модных вещей и узнаю кучу всяких прикольных штук)

Стараюсь все записывать, часть видео, часть текстом и потихоньку выкладывать во втором канале @ai_she4ka

Если интересна вся эта тематика, присоединяйтесь :₽

Опыт для меня новый, немного непривычно, но интересно! Другой формат, другой контент, новая тематика, не судите строго :D

Пока что база-базовая, но уже есть пара интересных моментов точно)

Надеюсь вам зайдет, ну или поможет при работе со всякими gpt-шками)

200 рублей за кучу приватной инфы

Ну и конечно, блин, нельзя пройти мимо таких вот факапов)))

Gemini Advanced за 200 рублей и тьма-тьмущая чужих чатов))))