Pentest em Aplicações Móveis
Upcoming SlideShare
Loading in...5
×
 

Pentest em Aplicações Móveis

on

  • 1,988 views

Apresentação realizada no dia 15/05/2011 durante a Conferência O Outro Lado (Co0L), promovida pelo Garoa Hacker Clube.

Apresentação realizada no dia 15/05/2011 durante a Conferência O Outro Lado (Co0L), promovida pelo Garoa Hacker Clube.

Statistics

Views

Total Views
1,988
Views on SlideShare
1,984
Embed Views
4

Actions

Likes
1
Downloads
81
Comments
0

1 Embed 4

http://localhost 4

Accessibility

Categories

Upload Details

Uploaded via as Apple Keynote

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n
  • \n

Pentest em Aplicações Móveis Pentest em Aplicações Móveis Presentation Transcript

  • Pentest em Aplicações MóveisWagner Elias, CTOConviso Application Security
  • Disclaimer Apresentação focada nas aplicações desenvolvidas para as plataformas e não no OS ou arquitetura
  • Conhecer a plataforma paraexplorar
  • Android
  • Conhecendo as arquiteturas
  • Android SDKSDK Disponibilizado gratuitamente pelaAndroid para desenvolver aplicaçõesAndroid
  • APK FilesArquivo que contém os itens utilizados nacomposição de uma aplicação Android ‣ AndroidManifest.xml ‣ Classes compiladas em .dex ‣ Alguns arquivos XML codificados
  • JVM x Dalvik VM Java Java Source Source Java Java Compiler Compiler Java Byte Java Byte Code Code Dex Compiler Dalvik Byte Code Dalvik Executable JVM Dalvik VM
  • AndroidManifest.xmlArquivo XML que define identificadoresúnicos para aplicações e as permissõesdo que pode ser feito
  • Intent Processo de comunicação inter- processos/aplicações ‣ Os IntentFilters definem como a aplicação pode se comunicar com outras
  • iPhone
  • iOS SDKSDK Disponibilizado gratuitamente pelaApple para desenvolver aplicações paraiPhone/iOS
  • Objective-CLiguagem orientada a objetos comcaracterísticas de SmallTalk e C
  • COCOA APIFramework para desenvolvimento deaplicações iOS fornecido pela Apple
  • As Vulnerabilidades
  • Principais Vulnerabilidades Existem vulnerabilidades comuns a plataforma e outras específicas ao Android ou iPhone/iPad
  • Principais Vulnerabilidades ‣ Armazenamento Inadequado ‣ SD Card ‣ SQLite3 ‣ Cache ‣ Permissões ‣ Comunicação entre apps ‣ Acesso a arquivos
  • AndroidQuebra de confidencialidade eintegridade na comunicação entreaplicações e recursos ‣ Configuração inadequada de AndroidManifest.xml ‣ Informações críticas hard-coded
  • iPhone/iPadDesenvolvida com código não gerenciado, é suscetível afalhas comuns em linguagens como C ‣ Buffer Overflow ‣ Integer Overflow ‣ Format StringAlém das falhas características da linguagem, o iOS tem orecurso de armazenamento compartilhado de chaves, queconfigurado de forma inadequada pode levar aocomprometimento de chaves
  • Ferramentas Utilizadas noProcesso
  • ToolsUm tool set de ferramentas necessáriaspara conseguir analisar e explorar asegurança das aplicações
  • GeraisIDE (Sugestões) Eclipse para o Android Xcode para o iPhoneEmulador Ambas plataformas contam com emuladoresClient para Database As duas plataformas armazenam dados locais usando SQLite3
  • AndroidAs aplicações para Android sãodesenvolvidas em código java e passampor um processo específico decompilação ‣ Analisar os arquivos .pak gerados ‣ Converter dex para java ‣ Analisar o java
  • Manifest Explorer Aplicação Android que possibilita escolher uma aplicação e analisar as configurações do AndroidManifest.xml
  • Intent Sniffer Monitora a comunicação gerada através do Intent que a aplicação realizada ‣ http://www.isecpartners.com/mobile- security-tools/intent-fuzzer.html
  • DedexerConverte arquivos compilados em dx(bytecode .dex) para DEX Assembler‣ http://dedexer.sourceforge.net/
  • dex2jarConverte arquivos compilados em dx(bytecode .dex) para bytecode java (.jar) ‣ http://code.google.com/p/dex2jar/
  • JD-GUIDecompila jar files e apresenta o códigofonte em java‣ http://java.decompiler.free.fr/?q=jdgui
  • axml2xml.plConverte arquivos XML codificados emtexto claro ‣ http://code.google.com/p/android- random/downloads/detail? name=axml2xml.pl
  • iPhoneAs aplicações para iPhone sãodesenvolvidas em linguagem Objective-Ce altamente dependentes da COCOA API‣ Decompilar aplicações‣ Analisar Source-Code
  • otool Decompila aplicações desenvolvidas em Objective-C ‣ Pacote disponível no Mac/Xcode
  • class-dump-xDecompila aplicações desenvolvidas emObjective-C‣ http://iphone.freecoder.org/ classdump_en.html
  • SharkAplicação para monitorar o desempenhoque permite analisar o comportamentoda aplicação‣ Pacote disponível no Mac/Xcode
  • Clang
  • MobileFight
  • Breve em um repositórioperto de vocêFerramenta Open Source desenvolvidaem python pelo Conviso Labs parasuportar o processo de análise deaplicações desenvolvidas para iPhone/iPad, Android e BlackBerry
  • ConclusãoAplicações móveis, assim como qualqueraplicação, tem vulnerabilidades e devemser analisadas
  • ReferênciasBooks Mobile Application Security [Paperback] Beginning iPhone 4 Development: Exploring the iOS SDK [Paperback] The Busy Coders Guide to Advanced Android Development [Paperback] The Android Developers Cookbook: Building Applications with the Android SDK (Developers Library) [Paperback]Papers Desenvolvimento iOS (http://blog.mobilizando.com.br/wp-content/uploads/2011/05/ Desenvolvimento_iOS.pdf) Android Attacks (https://www.immunityinc.com/infiltrate/presentations/Android_Attacks.odt.pdf) Penetration test android applications (http://www.mcafee.com/us/resources/white-papers/foundstone/ wp-pen-testing-android-apps.pdf) Penetration test android applications (http://www.mcafee.com/us/resources/white-papers/foundstone/ wp-pen-testing-iphone-ipad-apps.pdf)