Кстати, в этом году наконец-то появилась номинация про мобилки!

Так что все у кого есть, что рассказать - подавайтесь смело!

Анонсируем прямой эфир в рамках подготовки к Pentest award: Обсудим новые номинации, возможные кейсы и критерии оценки!

Выйдем поболтать 16 мая в 10:30, обсудим третью ежегодную премию для этичных хакеров. А так же:

— О чем будут новые номинации;
— Какие работы высоко оценит жюри;
— Примеры кейсов прошлых лет;
— Что важно в заявках, а что не очень;
— Опыт наших проектов.

Компанию в эфире составит Павел Чернышев — Red Team Lead «Совкомбанк Технологии». Павел поделится интересными кейсами, накопленными за годы всевозможных тестирований банковской инфраструктуры и различных Red Team проектов.

Регистрация не нужна, трансляция пройдет в канале @justsecurity

Итоги конкурса!


Итак, сегодня разыгрываем билет!
И я поздравляю @zykloned с билетом на конференцию AppsConf!

Я передал твой контакт организаторам, скоро с тобой свяжутся с деталями!

Всем большое спасибо!

Вышло наше исследование!

Ну что сказать, в этом году оно вышло явно сложнее, чем в прошлом, больше детектов, больше интересного, но как и раньше, основная проблема такая же, что и раньше(

Мы очень старались, надеюсь, вам понравится!

В этом году планируем еще более масштабный анализ и с дополнительными категориями!

Остаемся на связи :)🤙

Эксплуатация SQL Injection в iOS или…

Прочитал тут удивительную статью про эксплуатацию SQLInjection в одном из приложений iOS.

И честно говоря, либо я не до конца понял, либо автор в статье просто перехватывает при помощи Frida запрос и подменяет его на свой собственный. Как-то не сильно-то похоже на инъекцию. С таким же успехом можно было просто базу скачать себе и посмотреть в том же бекапе даже без джейла.

На самом деле я очень нечасто встречал SQL-инъекции в iOS, так как там сильно ограничено межпроцессное взаимодействие и такого механизма, как, например Content Provider в Android, там нет, что бы смотрело впрямую в базу. В Android они тоже не так часто встречаются, но все таки они есть и реально эксплуатабельны.

Но все-таки я не понимаю, какой практический смысл этой статьи.. Помогите, пожалуйста, может я все-таки не так что-то понял?

Какую IDE для Android разработки вы используете?
Мне вот правда интересно, есть ли люди, кто использует что-то отличное от Android Studio для разработки или это прям стандарт-стандарт для мобилок?

Наверняка же есть что-то еще, помимо Android Studio? Вголову приходит только VSCode с плагинчиками, но эмулятором же управлять удобнее из студии)


В общем, помогите, пожалуйста разобраться))

Как приложения сливают нашу геопозицию или я знаю, где ты живешь...

Очень крутое на исследование, которое глубоко копает в механизмы отслеживания местоположения через рекламу в мобильных приложениях аж в двух частях:
Часть первая
Часть вторая

Автор продемонстрировал, как, используя Charles Proxy (в первой части) и mitmproxy (во второй), можно вскрыть этот "ящик Пандоры". Даже если вы отключили службы геолокации, приложения, такие как простая игра Stack от KetchApp, передают ваш IP-адрес, точные временные метки и рекламные идентификаторы (IDFA/AAID) таким гигантам, как Unity Ads и Facebook.

Эти данные затем участвуют в Real-Time Bidding (RTB) аукционах, где SSP (Supply-Side Platforms) продают их DSP (Demand-Side Platforms), например, Moloco Ads. Более того, информация о вашем местоположении, полученная даже косвенно через IP или Wi-Fi сети, может оказаться на рынках данных вроде Datarade, иногда с пометкой "low latency", то есть практически в реальном времени.

В репозитории на GitHub есть подробное руководство и наработки на Python (mitm_test.ipynb и visualise_domains.ipynb) для самостоятельного анализа собранных .mitm файлов, позволяющие визуализировать, какие домены получают больше всего запросов.

И это крайне наглядный пример того, как даже обыденные приложения могут стать источником утечки чувствительных данных, и как важно проводить анализ сетевой активности разрабатываемых нами приложений и подключаемых внешних библиотек, чтобы не окзаться потом читающим статью, как твое приложение передает свою геопозицию в другие компании...

Кстати, на одной из конференций показывали, как публичные точки WiFi собирают наши данные для того, чтобы можно было отслеживать устройство, как и где оно перемещается... Конечно, существующие настройки приватности и рандомизации MAC-адресов работают, но настолько ли хорошо они нас защищают? Это вопрос))

Приятного вам вечера пятницы и да, все знают, где ты живешь!

#MobileSecurity #Privacy #AdTech #DataLeak #RTB #mitmproxy #InfoSec

Как получить root на Android эмуляторе (AVD) с Google Play?

Для анализа некоторых мобильных приложений на Android часто нужен не только root-доступ, но и полноценный Google Play со всеми его сервисами. И в том, чтобы его получить может отлично помочь статья на 8ksec.io.

По сути, в статье описан способ модификации образа ramdisk.img при помощи инструмента RootAVD. Описан весьма детально, с подробностями и пояснением к каждому этапу.

В итоге мы получаем эмулятор с установленным Magisk, Frida и root доступом через adb. При этом имея полноценные Google Services и даже Google Play. Отличный способ, главное, чтоб он рабочий оказался))

Пользуйтесь и пишите,. если и правда получилось =)

#Android #Emulator #Magisk #root

и еще один способ :)

Можно и ksu поставить на avd, у них есть ci канал в телеге, там есть пропатченные avd образы.
Вот здесь я issue заводил и разраб описал как это можно замутить

участвуем активнее, друзья, покажите ваши умения)

Всем привет! Стартанул наш конкурс на PHD. Задача как обычно простая - находите баги, получаете баллы, забираете мерч. В этот раз вас ждет супер защищенное хранилище конфиденциальной информации. Кроме беслатных функций в нем есть платные. Еще есть триальная лицензия чтобы можно было оценить прелесть платной версии программы ;) Сможете получить безлимитную? Все подробности здесь.

Всем удачи!