Ibinunyag ng Ethical Hackers Kung Paano Pumapasok sa Anumang Mobile Device (Legal!)

Isipin ang isang mobile app tulad ng isang , na may hawak ng lahat mula sa mga password ng user hanggang sa mga detalye ng pagbabayad. Bilang isang penetration tester, ang iyong trabaho ay tiyakin na ang vault ay selyado nang mahigpit—matagal bago ang sinumang tunay na umaatake ay sumubok na pumasok. Sa gabay na ito, gagabayan ka namin sa , mula sa pangangalap ng mga tamang tool hanggang pagsusuri ng code at trapiko. Tara na! digital vault buong proseso ng mobile pentesting Panimula Nakatira tayo sa isang mundo kung saan ang mga mobile device ay halos extension ng ating sarili. Dahil ginagawa ng mga tao ang kanilang , , at sa mga telepono, ang pagtiyak sa ay pinakamahalaga. At iyon ang dahilan kung bakit mahalaga ang mobile pentesting: ginagaya namin ang mga pag-atake laban sa mga app upang ilantad ang mga kahinaan at tulungan ang mga developer na ayusin ang mga ito. pagbabangko pamimili pakikisalamuha seguridad ng app Narito kung ano ang para sa iyo: : Hindi ka mawawalan ng tulog sa mga paglabas ng data o mga nanakaw na kredensyal. Peace of Mind : Ang mga regulator (at ang iyong mga user) ay nangangailangan ng matibay na pamantayan sa proteksyon. Pagsunod : Ang ibig sabihin ng mga secure na app ay mas maligayang customer at mas kaunting panganib ng mga negatibong headline. Pagpapalakas ng Reputasyon Ano ang Mobile Pentesting? Sa kaibuturan nito, ay tungkol sa paghahanap ng mga malikhaing paraan upang makapasok sa isang app—tulad ng gagawin ng isang tunay na umaatake—upang maayos mo muna ang mga kahinaan. Iba ito sa karaniwang web pentesting dahil ang mga mobile app: ang mobile pentesting : Ang Android at iOS ay may kanya-kanyang mga panuntunan, modelo ng seguridad, at kakaiba. Tumakbo sa Mga Natatanging Platform : Maaaring ma-save ang sensitibong impormasyon nang lokal, kaya napakahalaga na suriin ang storage na partikular sa device. Mag-imbak ng Data sa Mga Device : Madalas na nakikipag-usap ang mga mobile app sa mga backend na server sa pamamagitan ng mga API, na maaaring mali ang pagkaka-configure o masugatan kung hindi masusubok nang maayos. Lubos na umasa sa mga API Kasama sa mga karaniwang hamon ang pagharap sa , pag-bypass sa , at pagsusuri sa parehong at na logic. root/jailbreak detection SSL pinning client-side server-side Mga Karaniwang Banta sa Mga Mobile Application Isipin ang isang medieval na kuta—ito ang mga tipikal na “weak spot” na tinatarget ng mga umaatake: Hindi Secure na Imbakan ng Data Ang mga sensitibong token o kredensyal ng user ay iniiwan na hindi naka-encrypt sa device. Mahina ang Server-Side Controls Nawawalang input validation o may depektong lohika ng API na maaaring pagsamantalahan ng mga hacker. Hindi Sapat na Proteksyon ng Layer ng Transportasyon Gamit ang HTTP o may depektong HTTPS, nagbibigay-daan sa mga umaatake na maharang o baguhin ang trapiko sa network. Hindi Secure na Pagpapatotoo at Awtorisasyon Maling ipinatupad na mga system sa pag-log in, pamamahala ng session, o mga pagsusuri sa pahintulot. Mga Kahinaan sa Side ng Kliyente Code na maaaring i-reverse-engineer upang magbunyag ng mga lihim, o logic na maaaring manipulahin sa runtime. Tingnan ang at ang para sa higit pa sa mga panganib na ito. Para silang na nagha-highlight sa lahat ng posibleng mga pitfalls. OWASP Mobile Top 10 Mobile Application Security Testing Guide (MASTG) mga mapa Maghanda para sa Mobile Testing Bago mo salakayin ang kastilyo, kailangan mo ng . Sa mga termino ng pentesting, nangangahulugan iyon ng pagse-set up ng isang kapaligiran kung saan maaari kang ligtas na mag-eksperimento nang hindi nakakapinsala sa totoong data sa mundo. Saklawin natin ang mga pangunahing kaalaman para sa parehong Android at iOS. tamang sandata at armas Android Kapag sinusubukan ang mga Android app, maaari mong paikutin ang mga virtual na device gamit ang mga tool tulad ng o . Hinahayaan ka ng mga emulator na ito na mag-install at sumubok ng mga app nang mabilis nang hindi nangangailangan ng pisikal na device. Ang mga detalyadong hakbang sa pag-set up ay makikita sa . Android Emulator Genymotion gabay na ito Android Emulator Gayunpaman, ang paggamit ng ay kadalasang nagbubunga ng mas tumpak na mga resulta—lalo na kapag kailangan mong subukan ang mga tunay na kondisyon ng network, sensor, o biometric na pagpapatotoo. Kung nagpaplano ka ng mas advanced na mga pagsubok tulad ng o in-depth data forensics, ang pagkakaroon ng aktwal na hardware ay isang malaking plus. pisikal na device root check Kung magpasya kang bumili o humiram ng nakalaang device, tandaan na ang ilang mga Android phone ay . Ang pag-rooting ay nagbibigay sa iyo ng mas malalim na access sa operating system, na nagbibigay-daan sa iyong suriin ang mga nakatagong file, i-bypass ang mga paghihigpit sa app, at magpatakbo ng makapangyarihang mga tool na nangangailangan ng mataas na pahintulot. mas madaling i-root Pag-ugat ay parang paghahanap ng skeleton key sa operating system ng iyong telepono. Karaniwan, ikaw ay: Ang Android Rooting I-unlock ang bootloader. Mag-flash ng custom na pagbawi (hal., TWRP). Mag-install ng tool sa pamamahala ng ugat tulad ng o . Magisk SuperSU Ang bawat bersyon ng telepono at OS ay may mga kakaiba, kaya maging handa para sa ilang mga pagsubok. Ang magandang balita ay kapag na-root na ang isang device, sa pangkalahatan ay nananatili itong ganoon maliban kung nag-factory reset ka o nag-upgrade ng firmware. Tandaan na maaaring mawala ang mga jailbreak sa iOS pagkatapos ng pag-reboot—kaya nag-aalok ang Android minsan ng mas patuloy na platform para sa pagsubok. Palaging sundin ang mga pinagkakatiwalaang gabay para sa iyong partikular na telepono—maaaring masira ng hindi wastong pag-rooting ang software o magkaroon ng mga butas sa seguridad. At, siyempre, bago sumisid! i-back up ang iyong data Halimbawa ng pag-rooting ng Pixel 3a Proxy Isipin ang isang tulad ng Burp Suite bilang iyong "spyglass." Hinahayaan ka nitong makita at baguhin ang lahat ng trapikong papasok at palabas sa app. Makakakuha ka ng hindi secure na komunikasyon, may depektong pagpapatotoo, o malilim na kahilingan. Ang pag-set up ng proxy para sa mobile ay katulad sa iOS at Android. Makakakita ka ng mga opisyal na tagubilin para sa bawat platform . proxy dito Nakakalito ang mga bagay sa ilang partikular na frameworks: Minsan binabalewala ang mga setting ng proxy sa buong system dahil sa mga custom na library ng networking. ng Xamarin Maaaring igalang ang mga proxy ngunit maaaring ipatupad , na humahadlang sa iyo sa pagtingin sa trapiko. ng Flutter ang pag-pin ng certificate Upang malampasan ang mga hadlang na ito, maaari mong i-tweak ang code, gumamit ng mga tool tulad ng o para i-off ang pag-pin o i-set up ang mga reverse proxy (hal., ) upang makuha ang trapiko. Ang pag-aangkop sa iyong diskarte ay bahagi ng kasiyahan! Frida Objection mitmproxy Pag-install ng App Kung wala pa ang app sa Google Play Store—karaniwan para sa mga pentest—malamang na magkakaroon ka ng na i-sideload. Maaari mong ibahagi ang APK sa pamamagitan ng Google Drive o isang direktang link sa pag-download. Ang isa pang maginhawang opsyon ay ang paggamit , na nag-aayos ng pagsubok sa pamamagitan ng pagpapadala ng mga imbitasyon sa mga stakeholder. APK file ng Firebase App Distribution iOS Sa iOS, nag-aalok din ang isang ng pinakatunay na karanasan sa pagsubok. Maaari kang sumisid sa mga feature na partikular sa hardware gaya ng , , at mga sensor habang kumukuha din ng mga makatotohanang pakikipag-ugnayan sa network. Kung bibili ka o gumagamit ng personal na device, isaalang-alang ang mga modelong kilala na mas simple sa (dahil hindi lahat ng iPhone ay pantay na palakaibigan sa prosesong ito). Kung kailangan mo ng mga virtual na iOS device, nagbibigay ng malakas na pagsubok na nakabatay sa cloud, kahit na hindi ito libre. Karamihan sa mga tester ay umaasa pa rin sa isang pisikal na device para sa masusing pagsusuri. pisikal na device Face ID Touch ID jailbreak ang Corellium Jailbreaking ay parang inaalis ang mga padlock na inilalagay ng Apple sa mga device nito. Nagkakaroon ka ng mga pribilehiyo sa ugat, hinahayaan kang mag-install ng mga tweak, galugarin ang mga nakatagong direktoryo ng file, o magpatakbo ng mga advanced na pentesting script. Kabilang sa mga sikat na tool at . Ang pinakamahusay na pagpipilian ay depende sa iyong bersyon ng iOS at modelo ng device. Ang iOS Jailbreaking ang unc0ver Checkra1n Tandaan: Ang mga mas bagong device ay maaaring maging mas mahirap sa jailbreak. Ang ilang mga jailbreak ay hindi nakaligtas sa pag-reboot ("semi-untethered"). Palaging ang iyong iPhone bago manggulo sa mga system file. i-back up Tandaan din na ang ilang mga layer ng seguridad ay awtomatikong muling ina-activate kapag nag-restart ang iyong device, kaya maaaring kailanganin mong muling mag-jailbreak sa tuwing magpapagana ka. Pag-install ng App Ang mga iOS app ay nasa mga file—katulad ng mga APK sa Android. Sa isang jailbroken na telepono, maaari kang mag-install ng mga IPA gamit ang mga file manager tulad ng o mga app tulad ng . Para sa mas opisyal na ruta, kadalasang umaasa ang mga developer sa , na nagbibigay-daan sa kanila na mag-imbita ng mga tester sa pamamagitan ng email—i-tap lang ang link, at ang iOS na ang bahala sa iba. IPA Filza Sideloadly TestFlight Ang pagse-set up ng iyong kapaligiran nang maayos—ang pagpili ng mga tamang device (virtual o pisikal), pag-configure ng mga proxy, at pag-unawa kung paano mag-sideload ng mga app—ay tinitiyak na magiging handa ka para sa sa mga panloob na gawain ng isang app. Maaaring tumagal ng ilang pag-iisip, ngunit kapag nakuha mo na ang perpektong pag-setup, maaaring magsimula ang tunay na pentesting! malalim na pagsisid Static Analysis (SAST) Ngayon ay magpatuloy tayo sa pagsusuri sa app mismo—nang hindi ito ganap na pinapatakbo. Ito ay tulad ng pagbabasa ng blueprint ng isang kastilyo bago ka pumasok. Naghahanap kami ng , , at iba pang isyu sa code o config file. mga hardcoded na sikreto hindi secure na configuration Mga Pangunahing Lugar na Pagtutuunan Mga Lihim na Naka-hardcode Ang mga API key, token, kredensyal, at encryption key kung minsan ay direktang napupunta sa source code. Kung i-reverse-engineer ng mga umaatake ang app, maaari nilang alisin ang mga sikretong ito sa kaunting pagsisikap at magpanggap bilang mga user o serbisyo. Mga Insecure na Configuration Ang mga labis na pinahihintulutang pahintulot, ang mga flag sa pag-debug ay naiwang naka-enable, o ang hindi wastong pag-sign ay maaaring lahat ng butas sa armor ng iyong app. Ang isang setting—tulad ng NSAllowsArbitraryLoads sa isang iOS Info.plist o android:debuggable="true"—ay maaaring magbukas ng pinto sa mga pag-atake ng man-in-the-middle (MITM) o hindi protektadong pag-debug. Sensitibong Pagkakalantad ng Data Ang pag-iimbak ng mga token ng session o personal na impormasyon sa plain text sa device (mga log, nakabahaging kagustuhan, mga lokal na file) ay isang recipe para sa sakuna. Ang sinumang may pisikal na pag-access o isang na-root/jailbroken na telepono ay maaaring sumilip at magnakaw ng mahalagang data—hindi kailangan ng brute force. Lohika ng App at Mga Kapintasan Kadalasan, nagmumula ang mga isyu sa ugat kung paano ipinapatupad ang mga feature. Kapag ang mahahalagang pagsusuri—tulad ng pagpapatotoo—ay nawawala o hindi mahigpit na ipinapatupad, madaling ma-bypass ng mga umaatake ang iyong mga depensa. Katulad nito, ang mahinang cryptographic function o hindi secure na mga bahagi ng app ay maaari ding gawing madali ang buhay para sa sinumang sumusuri sa iyong app. Checklist ng MSTG Ang ay nag-aalok ng isang masusing checklist upang matulungan kang harapin ang static na pagsusuri sa paraang paraan: Mobile Security Testing Guide (MSTG) [ ] : Ang sensitibong data ay hindi naka-imbak nang hindi naka-encrypt sa device. MSTG-STORAGE-1 [ ] : Walang nakaimbak na sensitibong data sa nakabahaging storage. MSTG-STORAGE-2 [ ] : Wastong paggamit ng mga cryptographic algorithm at library. MSTG-CRYPTO-1 [ ] : Mga secure na channel ng komunikasyon (hal., HTTPS/TLS). MSTG-NETWORK-1 [ ] : Kawalan ng mga hardcoded na sikreto sa source code. MSTG-CODE-1 [ ] : Nalalapat ang code obfuscation nang naaangkop. MSTG-CODE-3 [ ] : Proteksyon laban sa reverse engineering. MSTG-RESILIENCE-1 [ ] : Ang mga kakayahan sa pag-debug ay hindi pinagana sa produksyon. MSTG-RESILIENCE-2 [ ] : Wastong pangangasiwa ng mga pahintulot ng user at pribadong data. MSTG-PRIVACY-1 Mga Tool ng SAST Makakatulong sa iyo ang iba't ibang tool na i-dissect ang iyong code, mga config, at binary nang hindi pinapatakbo ang app: MobSF (Mobile Security Framework) : Mag-plug in ng APK/IPA at bubuo ang MobSF ng isang detalyadong ulat: maglilista ito ng mga potensyal na maling pagsasaayos, kahina-hinalang pahintulot, o mga naka-hardcode na lihim. Gamitin : Mayroon din itong ilang dynamic na feature, na ginagawa itong isang maayos na all-in-one na solusyon. Bonus (Android) APKTool : I-decompile at pagkatapos ay muling i-compile ang isang APK upang makita kung ano ang nasa loob. Ito ay perpekto para sa pagbabasa ng AndroidManifest.xml, pagsusuri ng mga mapagkukunan, o pagsasaayos ng app. Gamitin ang apktool d app.apk -o output_director (Android) JADX ang : I-convert ang Dalvik bytecode (.dex) sa nababasang Java. Mahusay para sa pagtukoy ng mga linya ng code na may mga potensyal na kahinaan, tulad ng mga API key. Gamitin jadx app.apk -d output_directory (iOS) Class-Dump, Hopper, Ghidra : I-extract ang mga header ng klase ng Objective-C (Class-Dump) o i-disassemble ang mga binary ng iOS (Hopper/Ghidra). Kung na-Swiftify ang app, makikita mo rin ang Swift metadata. Gamitin ang Mga halimbawa Android Pagbubunyag ng impormasyon Maaaring i-decompile ang mga Android app mula sa kanilang mga file gamit ang mga tool tulad ng , , o . APK APKTool JADX MobSF Ang prosesong ito ay nagpapakita ng source code, istraktura ng application, at mga sensitibong bahagi tulad ng AndroidManifest.xml o .smali na mga file, na maaaring maglantad ng lohika ng app at mga pahintulot. Pinapayagan ang Cleartext Traffic Maaaring samantalahin ng mga umaatake ang hindi naka-encrypt (HTTP) na komunikasyon para sa pag-eavesdropping o pakikialam. Debuggable na Application Ang sinumang may device (o emulator) ay maaaring mag-attach ng debugger at paghalungkat sa pamamagitan ng sensitibong data o logic. Mga Hardcoded na API Key public class ApiClient { private static final String API_KEY = "12345-abcdef-67890"; private static final String API_SECRET = "superSecretPassword123!"; } Ang isang mabilis na pag-decompile gamit ang APKTool o JADX ay nagpapakita ng mga key na ito, na nagpapahintulot sa mga umaatake na gayahin ang app o i-access ang mga serbisyo ng backend nang hindi awtorisado. Sensitibong Data sa Plaintext abc123XYZ987 user@example.com Kung ang mga token o mga detalye ng user ay naka-store sa plain text, madaling makuha ng isang naka-root na device ang mga ito. iOS Maling na-configure ang Info.plist NSAppTransportSecurity NSAllowsArbitraryLoads Ipinapatupad ng Apple ang mga secure na koneksyon bilang default, kaya ang pag-override nito ay magbubukas sa app sa mga panganib sa MITM o hindi naka-encrypt na trapiko. Mga tool sa decompilation tulad ng , , at extract ang content ng file ng app, kabilang ang mga klase ng Objective-C, pangalan ng pamamaraan, at binary file. Class-Dump Hopper Disassembler Ghidra IPA Dynamic na Pagsusuri (DAST) Kung pinag-aaralan ng static analysis ang blueprint ng kastilyo, ay naglalakad sa loob ng kastilyo habang sinusuri ang bawat pinto at bintana. Pinapatakbo namin ang app, panoorin kung paano ito kumikilos, at tingnan kung maaari naming pagsamantalahan ang anumang mga kahinaan sa real time. ang dynamic na pagsusuri Mga Pangunahing Lugar na Pagtutuunan Komunikasyon sa Network Tiyaking hindi ang data ng iyong app habang nagbibiyahe. Kung umaasa ang iyong app sa HTTP o hindi wastong na-configure na HTTPS, maaaring pumasok, humarang, o kahit na baguhin ng isang attacker ang data. Ganoon din sa nawawala o mahinang , na naglalantad sa iyong app sa mga pag-atake ng man-in-the-middle (MITM). tumutulo SSL/TLS certificate pinning Pagpapatunay at Awtorisasyon Kahit na ang iyong mga screen sa pag-log in at mga tungkulin ng user ay mukhang maganda sa papel, ang tunay na pagsubok ay kung ang isang tao ay maaaring lampasan ang mga ito sa runtime. Halimbawa, maaari bang muling gamitin ng isang attacker ang mga token ng session o hulaan ang mga ito? Tama ba ang pag-time out ng app o pinapanatili nitong bukas ang mga session nang tuluyan? Runtime Integrity at Mga Pagsusuri sa Seguridad Maraming app ang sumusubok na tuklasin kung ang isang device ay (Android) o (iOS) at pagkatapos ay tumanggi na patakbuhin o i-block ang ilang partikular na feature. Sa panahon ng dynamic na pagsusuri, gusto mong makita kung makakalagpas ka sa mga pagsusuring ito sa pamamagitan ng pag-hook sa code ng app, para mapanatili mo pa rin ang pagsubok. Kung madali mong malalampasan ang mga hakbang na ito, magagawa rin ng mga umaatake. naka-root jailbroken Pag-leakage ng Data Habang Nagpapatupad Nagla-log ba ang app ng sensitibong impormasyon (tulad ng mga password o token) sa plaintext? Kapag nagpalit ka ng mga app o background sa device, ang screen ba ay nakunan na may kumpidensyal na data pa rin ang ipinapakita? Ang ganitong uri ng hindi sinasadyang trail na "breadcrumb" ay maaaring humantong sa mga umaatake patungo sa kayamanan. API at Server-Side Verification Maaaring magmukhang secure ang app mula sa pananaw ng kliyente, ngunit kung hindi ma-validate ng backend API ang mga pahintulot o input ng user, maaaring mabilis na mag-tweak ang isang attacker ng mga kahilingan upang makakuha ng hindi awtorisadong pag-access o masira ang system. Napakahalaga na subukan ang parehong pag-uugali ng kliyente at server nang magkasabay. Checklist ng MSTG Sinasaklaw din ng ang dynamic na pagsusuri. Narito ang ilang mga tseke na dapat tandaan: Mobile Security Testing Guide (MSTG) [ ] : Nakikita at pinipigilan ng app ang pakikialam o pag-reverse ng mga pagtatangka sa engineering. MSTG-RESILIENCE-1 [ ] : Nakikita ng app ang mga naka-root o jailbroken na device. MSTG-RESILIENCE-2 [ ] : Pinapatunayan ng app ang integridad ng code at mga mapagkukunan nito sa runtime. MSTG-RESILIENCE-3 [ ] : Ini-encrypt ng app ang lahat ng trapiko sa network gamit ang malakas na cryptography. MSTG-NETWORK-1 [ ] : Ipinapatupad ng app ang pag-pin ng certificate kung saan naaangkop. MSTG-NETWORK-3 [ ] : Hindi umaasa ang app sa mga mekanismo ng seguridad ng platform lamang at independiyenteng nagpapatupad ng mga hakbang sa seguridad. MSTG-PLATFORM-1 [ ] : Ang app ay maayos na nagpapatupad ng mga session timeout at mga kinakailangan sa muling pagpapatotoo ng user. MSTG-AUTH-2 [ ] : Hindi nagla-log ang app ng sensitibong data sa mga log ng system. MSTG-STORAGE-4 [ ] : Ang app ay hindi nag-iimbak ng sensitibong data sa isang hindi secure na lokasyon. MSTG-STORAGE-5 [ ] : Gumagamit ang app ng up-to-date na mga cryptographic algorithm para sa mga pagpapatakbo ng runtime. MSTG-CRYPTO-1 Isipin ang mga ito bilang isang para sa iyong mga pagsubok sa totoong mundo. Tinutulungan ka nila na sistematikong sundutin ang bawat pinto at bintana para kumpirmahin na naka-lock ito. roadmap Mga Tool ng DAST Hindi tulad ng SAST, na nakatutok sa inspeksyon ng code, umiikot ang DAST sa ng app at pagsuri. Nasa ibaba ang mga sikat na tool upang gawing mas maayos ang prosesong iyon: pagpapatakbo / Burp Suite OWASP ZAP : Parehong humaharang sa mga proxy na nagbibigay-daan sa iyong makuha at baguhin ang trapiko sa pagitan ng app at mga backend na server. Tamang-tama para makita ang mga hindi secure na endpoint, mga bahid ng session, o mga pagtagas ng data. Gamitin Frida : Isang dynamic na instrumentation toolkit na nakakabit sa mga tumatakbong proseso, na tumutulong sa iyong i-bypass ang SSL pinning, root/jailbreak detection, o iba pang mga paghihigpit sa panig ng kliyente. Gamitin ang Mga Karaniwang Utos ni Frida Aksyon Utos Mag-attach sa isang Tumatakbong Proseso frida -U -n Ilista ang Lahat ng Tumatakbong Proseso frida-ps -U Mag-inject ng Custom na Script frida -U -n -c script.js Pagsubaybay sa Mga Tiyak na Pag-andar frida-trace -U -n Hook ng isang Tiyak na Function frida -U -n --eval 'Interceptor.attach(Module.findExportByName(null, "function_name"), { onEnter: function (args) { console.log(args[0].toInt32()); } })' (Android) Drozer : Nakatuon sa pag-scan ng mga bahagi ng Android gaya ng Mga Aktibidad, Serbisyo, Broadcast Receiver, at Content Provider para sa mga kahinaan sa seguridad. Gamitin Mga Karaniwang Utos ng Drozer Aksyon Utos Kumonekta sa isang Device drozer console connect Isa-isahin ang mga Gawain run app.activity.info -a Makipag-ugnayan sa Mga Na-export na Aktibidad run app.activity.start --component Pagsubok para sa SQL Injection run scanner.provider.injection -a pagtutol : Binuo noong Frida, ngunit may mas simpleng command para sa mga gawain tulad ng hindi pagpapagana ng SSL pin o pag-explore sa file system ng app. Perpekto kung hindi ka isang scripting guru. Gamitin ang Mga Karaniwang Utos ng Pagtutol Aksyon Utos Mag-attach sa isang Tumatakbong App objection -g explore Huwag paganahin ang SSL Pinning android sslpinning disable / ios sslpinning disable I-print ang Impormasyon ng Application android application info or ios application info Mga halimbawa Android Network Interception at Pagbabago Sa pamamagitan ng pagruruta ng trapiko sa Android sa pamamagitan ng isang tool tulad ng , maaaring harangin at baguhin ng mga tester ang mga kahilingan. Halimbawa, kung ang app ay nagpapadala ng mga kredensyal sa pamamagitan ng HTTP o hindi na-validate nang maayos ang mga TLS certificate, maaaring magsagawa attack ang isang attacker. Burp Suite ng man-in-the-middle (MITM) POST /login HTTP/1.1 Host: api.example.com Content-Type: application/json { "username": "test_user", "password": "secret_password" } Maaaring ilantad o manipulahin ang mga token ng session, personal na data, o impormasyon sa pagbabayad. Mga Debug Log na Nagpapakita ng Sensitibong Data 03-09 12:34:56.789 1234 5678 I MyAppLogger: User token = "abc123XYZ987" 03-09 12:34:56.789 1234 5678 I MyAppLogger: Payment info: "card_number=4111111111111111" Maaaring basahin ng sinumang may (o malisyosong app) ang mga log na ito at pagsamantalahan ang mga ito. ADB Mga Insecure na Aktibidad / Content Provider Gamit , matutuklasan ng mga tagasubok ang mga na-export na aktibidad o provider ng nilalaman na hindi nangangailangan ng pagpapatunay. ang Drozer drozer console connect run app.provider.query content://com.example.app.provider/users Kung ibinalik ang data nang walang wastong pahintulot, maaaring basahin o baguhin ng mga umaatake ang impormasyon ng isang user. Pag-bypass sa Root Detection Nagbibigay-daan sa iyo ang mga tool tulad ng o na i-bypass ang root detection o SSL pinning checks sa runtime: Frida Objection frida -U -n com.example.app --eval "..." objection -g com.example.app explore android sslpinning disable android root disable ios sslpinning disable ios root disable Ang mga umaatake sa mga rooted na telepono ay maaaring magpatuloy sa pagsubok o pag-hook sa mga sensitibong function, pagbubunyag ng mga lihim o pakikialam sa logic ng app. iOS Jailbreak Detection Bypass Maraming iOS app ang hindi tatakbo kung makakita sila ng na telepono. Sa , maaari mong i-hook at i-override ang paraan ng pagtuklas: jailbroken Frida Interceptor.attach(Module.findExportByName(null, "jailbreakDetectionFunction"), { onEnter: function (args) { console.log("Bypassed jailbreak check!"); // Force return a 'clean' status } }); Maaaring patakbuhin ng mga attacker ang app sa mga nakompromisong device at maghalughog sa data o mga hook. Sensitibong Data sa Mga Log ng System 2023-03-09 12:34:56.789 MyApp[1234:5678] Payment info: card_number=4111111111111111 2023-03-09 12:34:56.789 MyApp[1234:5678] session_token=abc123XYZ987 Sa mga jailbroken na device—o sa pamamagitan ng external na pagkolekta ng log—direktang kumukuha ang mga attacker ng sensitibong data. Mga Karaniwang Hamon sa Mobile Pentesting : Ang mga Android device ay malawak na nag-iiba sa mga bersyon ng OS, mga custom na ROM, at mga pagbabago ng manufacturer, na ginagawang kumplikado ang pagsubok. Platform Fragmentation : Maaaring hadlangan ng mga feature tulad ng SSL pinning, root/jailbreak detection, at obfuscation ang pentesting. Mga Panukala sa Seguridad ng Application : Ang pagsusuri sa black-box ay kadalasang nangangailangan ng reverse engineering na may mga tool tulad ng APKTool o JADX, na maaaring magtagal. Limitadong Access sa Source Code : Ang sandboxing, proteksyon ng memorya, at ang pangangailangan para sa mga naka-root/jailbroken na device ay nagpapalubha ng mga pagsubok sa real-world na workflow. Mga Paghihigpit sa Dynamic na Pagsusuri : Ang pag-pin ng SSL, pagpapatunay ng certificate, o mga VPN ay maaaring maiwasan ang mga karaniwang MITM proxy. Ang mga tool tulad ng , , at ay nagiging mahalaga para sa bypass. Network Security at Traffic Inspection Frida Burp Suite mitmproxy Mga Madalas Itanong (FAQ) Ano ang mobile pentesting? Sinusubukan nito kung gaano ka-secure ang isang mobile app sa pamamagitan ng pagtulad sa mga pag-atake sa totoong mundo—na naghahanap ng anumang mga bitak bago gawin ng mga umaatake. Bakit mahalaga ang mobile pentesting? Dahil ang mga smartphone ay nagtataglay ng malaking halaga ng personal at pampinansyal na data, sila ang mga pangunahing target para sa mga cybercriminal. Ano ang mga pangunahing hakbang? Mag-set up ng isang kinokontrol na kapaligiran, magsagawa ng static na pagsusuri (SAST), magsagawa ng dynamic na pagsusuri (DAST), mga natuklasan sa dokumento, at muling suriin pagkatapos ng mga pag-aayos. Anong mga tool ang kailangan ko? Burp Suite o ZAP para sa traffic interception, MobSF para sa mga scan, APKTool/JADX (Android), Class-Dump/Hopper (iOS), at mga hooking tool tulad ng Frida o Objection. Gaano kadalas tayo dapat mag-pentest? Pagkatapos ng malalaking update, bagong feature, o makabuluhang pagbabago sa imprastraktura. Sa isip, isama ito sa CI/CD para sa tuluy-tuloy na pagsusuri. Ano ang mga karaniwang kahinaan? Hindi secure na storage ng data, walang HTTPS, mga hardcode na sikreto, hindi magandang pamamahala ng session, at mga maling na-configure na API. Maaari bang maging awtomatiko ang lahat? Hindi naman. Maaaring i-automate ng mga tool ang ilang mga pag-scan, ngunit ang manu-manong pagsubok ay nagbubunyag ng mas mapanlinlang na mga bahid ng lohika o kumplikadong mga panuntunan sa negosyo. Kailangan ba nating subukan ang parehong Android at iOS? Oo, bawat isa ay may natatanging mga modelo ng seguridad at mga pitfalls. Legal ba ang pentest? Talagang, kung mayroon kang tahasang pahintulot mula sa may-ari ng app. Kung hindi, ito ay labag sa batas. Saan ako magsisimula? Pag-aralan ang , alamin ang pangunahing pagbabaligtad, at magsanay sa mga open-source na app o sample na mga target. OWASP Mobile Security Testing Guide (MASTG) Konklusyon Ang mobile pentesting ay parang isang grand —magsisimula ka sa pangangalap ng gear (mga tool at device), pagkatapos ay the terrain (SAST), at sa wakas (DAST) upang mahanap ang bawat mahinang lugar. Sa pamamagitan ng regular na paggawa nito at pag-uulat ng iyong mga natuklasan, mapapanatili mong solid ang iyong mga app at ligtas ang iyong mga user. quest scout ay gumawa ng hands-on approach Tandaan: ang software ay nagbabago araw-araw, at gayundin ang mga pagbabanta. Gawing na bahagi ng iyong lifecycle ng pag-unlad ang pentesting—dahil ang pinakamahusay na paraan upang ma-secure ang isang kaharian ay sa pamamagitan ng hindi pagpapabaya sa iyong pagbabantay. patuloy Tungkol sa May-akda Ang artikulong ito ay inihanda ni , isang Security Testing Engineer sa , at sinuri ni , ang CTO ng . ay may higit sa limang taon ng hands-on na karanasan sa penetration testing at mga pagtatasa ng seguridad. Dalubhasa siya sa pagsubok ng mga web application, imprastraktura (parehong nasa lugar at cloud), at mga mobile platform (iOS at Android). Ang kanyang kadalubhasaan ay sumasaklaw sa mga pamamaraan ng Black Box, Gray Box, at White Box, kasama ng kahusayan sa mga pagsusuri sa kahinaan at mga pagsusuri sa seguridad ng source code. Anastasiia Tolkachova Sekurno Alex Rozhniatovskyi Sekurno Ang Anastasiia ay may pitong taong karanasan sa pag-unlad at cybersecurity. Siya ay isang AWS Open-source Contributor na nakatuon sa pagsulong ng mga secure na kasanayan sa coding. Ang kanyang kadalubhasaan ay nagtulay sa agwat sa pagitan ng software development at seguridad, na nagbibigay ng mahahalagang insight sa pagprotekta sa mga modernong web application. Si Alex Gabay sa Mobile Pentesting: Mga Sanggunian Mga Tool at Mapagkukunan Mobile-Security-Framework-MobSF Apktool jadx Burp Suite Frida Drozer pagtutol Genymotion Corellium Virtual Hardware appledb.dev reflutter platform-tools Magisk Root Checker checkra1n unc0ver Filza Mga Gabay at Artikulo Nangungunang 10 ng OWASP Mobile Seguridad ng OWASP Mobile Application OWASP MASTG NIST SP 800-163 I-download at i-install ang Android Studio Pag-configure ng Android device para gumana sa Burp Suite Pag-configure ng iOS device para gumana sa Burp Suite Professional Pag-hack ng Xamarin apps