Testowanie bezpieczeństwa aplikacji mobilnych

Testowanie bezpieczeństwa
aplikacji mobilnych
Sławomir Jasek

Dzień dobry!
Pentester / konsultant bezpieczeństwa
Sławomir Jasek
Od 2003 roku:
Ocena bezpieczeństwa aplikacji, systemów, sieci...
Najskuteczniej pomagamy już od etapu projektowania.

Co będzie
● Spojrzenie pentestera (= intruza) na aplikacje mobilne
● Testowanie – na przykładach głównie Android
– Analiza paczki i kodu
– Dane zapisywane w urządzeniu i w logach
– RPC
– Transmisja
– API
● Podsumowanie

Aplikacja mobilna – spojrzenie intruza
RPC
SIEĆ
ZAPIS
DANYCH
UŻYTKOWNIK
OS

Jak?Inna aplikacja na
urządzeniu
Kradzież, zgubienie
urządzenia, przypadkowy
dostęp, inna aplikacja...
Podatności systemu
Social engineering,
słabości użytkowników
np. słabe hasło, zbyt
trudne mechanizmy
Ataki na
transmisję -
podsłuch,
słabości SSL
API – błędy kontroli
dostępu, logiczne,
konfiguracji...
Analiza
paczki

Kto?
„grubszy cwaniak”
„script-kiddie”
Krzysztof Jarzyna
ze Szczecina
Dorwał się do narzędzi,
wali na oślep, zwykle nie
bardzo rozumiejąc co się
dzieje.
Coś mu się przypadkiem
udało (lub nie), i afera
gotowa.
Ma motywację, zasoby
oraz możliwości
przeprowadzenia ataku
nakierowanego

Po co?
● Jak to po co?
Bo może!
● Dla sławy!
● Dla satysfakcji
● Dla pieniędzy
● Dla innych korzyści
● ... https://www.flickr.com/photos/viirok/2498157861

Paczka aplikacji
● Android
– Aplikacje bez root
np. „My App Sharer”
– APK Leecher
– Playdrone – masowe
pobieranie do chmury
– (nie wspominając root)
● iOS, inne – DRM nie jest problemem

Analiza kodu
● Do ataku jakiegoś procesu przydaje się rozumieć
jak on działa
● Własna kryptografia, błędy implementacji...
● Hasła, klucze, tokeny zaszyte w aplikacji
Np. tokeny FB, Google, MS, Yahoo i Linkedin aplikacji Airb2b – 10 milionów użytkowników
http://viennot.com/playdrone.pdf
● Tak, znaleźliśmy token FB w aplikacji ;)

Przykład
● Przesyłanie mailem danych do „bazy” –
support@pewnafirma.com
● Założenie : wysyłamy bezpośrednio przez nasz serwer
pocztowy – mail.pewnafirma.com, nie angażujemy kont
użytkownika
● Serwer oczywiście nie jest open-relayem, do wysłania maila
wymaga uwierzytelnienia
● Hasło zaszyte w aplikacji
● Co możemy zrobić? (oprócz wysyłania spamu)
To samo hasło do POP3 = dostęp do skrzynki!

Wytęż wzrok i znajdź klucz „szyfrujący”
w zaobfuskowanym kodzie
public final class a
implements b
{
private static final char[] a = { 67,72,65,82,84,79,83,67,72,76,85,68,78,73,69 };
private static void a(char[] paramArrayOfChar, char paramChar)
{
paramArrayOfChar[0] = paramChar; int i = 0;
if (i < paramArrayOfChar.length)
{
if (i % 2 == 0) { paramArrayOfChar[i] = a[(i % a.length)]; }
for (;;)
{
i++; break; paramArrayOfChar[0] = paramChar;
}
}
}

Wytęż wzrok i znajdź klucz „szyfrujący”
w zaobfuskowanym kodzie
public final class a
implements b
{
private static final char[] a = { 67,72,65,82,84,79,83,67,72,76,85,68,78,73,69 };
private static void a(char[] paramArrayOfChar, char paramChar)
{
paramArrayOfChar[0] = paramChar; int i = 0;
if (i < paramArrayOfChar.length)
{
if (i % 2 == 0) { paramArrayOfChar[i] = a[(i % a.length)]; }
for (;;)
{
i++; break; paramArrayOfChar[0] = paramChar;
}
}
}
„CHARSCHLUDNIE”

Manifest, analiza uprawnień...

Dane zapisywane na urządzeniu
Kradzież, zgubienie
urządzenia, przypadkowy
dostęp, inna aplikacja...

Jak to sprawdzić
● Ręcznie: adb pull na różnych etapach pracy aplikacji
• Automaty, skrypty – np. wrzucanie do svn

Logi, cache...
● Dość często zawierają pełne żądania HTTP,
wprowadzane klawisze – np. hasło użytkownika
INSERT INTO "cfurl_cache_response"
VALUES(2,0,1594297610,0,'http://dev/service/auth/createFirstSession?password=35
971831&sessionId=857006 &userId=24384344','1970-01-21 23:03:36');

Logi, cache...
● Dość często zawierają pełne żądania HTTP,
wprowadzane klawisze – np. hasło użytkownika
I/System.out( 1098): BaseActivity calling: /login onResponseData:
{"response":{"mask":"c794ffa2ffbdffc180ff41ff","phi":"/(...)
D/InputEventConsistencyVerifier( 1098): 0: sent at 6529438000000, KeyEvent { action=ACTION_UP,
keyCode=KEYCODE_3, scanCode=4, metaState=0, flags=0x8, repeatCount=0, eventTime=6529438,
downTime=6529371, deviceId=0, source=0x301 }
I/System.out( 1098): BaseActivity calling: /login/maskedPassword onResponseData:
{"response":{"state":"A","authenticated":true},"msgId":"1344674218830418930","errorCode":0,"time"
:1351588394408,"errorDesc":""}

Logi, cache – skutki
● Warunki wykorzystania trudne do spełnienia
– Kto może te logi czytać?
– Jak długo są przetrzymywane?
– Czy problem dotyczy tylko jednego feralnego builda?
– Czy problem występuje na wszystkich wersjach OS?
– Jakie dodatkowe warunki muszą być spełnione?
– ...
● Ale to może nie mieć żadnego znaczenia w obliczu
klęski wizerunkowej – np. Starbucks, styczeń 2014

RPC
Inna aplikacja na
urządzeniu

BAD INTENTions
<receiver android:name =“MojReceiver”>
<intent -filter>
<action android:name = "android.intent.action.PACKAGE_ADDED"
String action = intent.getAction();
if (action...)

BAD INTENTions
<intent -filter>
if (action...)
Intent intent = new Intent();
intent.setComponent (“MojReceiver”);
sendBroadcast(intent);

BAD INTENTions
<intent -filter>
if (action...)
Nullpointer exception
CRASH

BAD INTENTions
<intent -filter>
if (action...)
if (action != null ){
if(action...)
Nullpointer exception
CRASH

BAD INTENTions
<intent -filter>
if (action != null) ){
Uid = intent.getStringExtra(“android.intent.extra.UID”);

BAD INTENTions
<intent -filter>
Intent intent = new Intent (“AKUKU”);
intent.putExtra (“android.intent.extra.UID”, attackerUID);

BAD INTENTions
<intent -filter>
Intent intent = new Intent (“AKUKU”);
intent.putExtra (“android.intent.extra.UID”, attackerUID);
if (action != null && action.equals (“PACKAGE_ADDED”) ){

BAD INTENTions
<permission android:name ="com.dobreprogramy.permission"
android:protectionLevel = "signature" ...
<receiver android:name ="dobryReceiver" android:exported="true"
android:permission="com.dobreprogramy.permission">
...
</receiver>

BAD INTENTions
android:protectionLevel = "signature" ...
<receiver android:name ="dobryReceiver" android:exported="true"
android:permission="com.dobreprogramy.permission">
...
</receiver>
android:protectionLevel="normal" ...>
<uses-permission android:name ="com.dobreprogramy.permission"/>
Intruz może zarejestrować to samo wcześniej

Analiza/atak RPC
● Mnóstwo narzędzi
– Drozer
https://www.mwrinfosecurity.com/products/drozer/
– Android Hooker, comdroid, chex, epicc, iSEC intent
fuzzer/sniffer...
● Ręcznie
am broadcast -n com.aplikacja/com.aplikacja.BroadcastReceiver
am start -a android.intent.action.CALL -d tel://000-0000

Transmisja
Ataki na
transmisję -
podsłuch,
słabości SSL
Intruz musi mieć dostęp
do transmisji – pasywny
(podsłuch), lub aktywny –
aby modyfikować ruch

Przechwytywanie ruchu
● Local proxy – co się dzieje „na łączu” (np. żądania HTTP)
– Burp: wersja darmowa na początek wystarczy
portswigger.net/burp
– Fiddler – MS
www.telerik.com/fiddler
– wiele innych
● Emulator przez proxy:
emulator -avd emu -http-proxy 127.0.0.1:8080
www.telerik.com/fiddler/

SSL – wróćmy do podstaw
CA

Co zrobi klient?
● Jeśli ten sam certyfikat byłby
podpisany innym CA?
[POWINIEN] wyświetlić
ostrzeżenie, przerwać
transmisję...
Zaakceptuje bez
mrugnięcia.
CA nie jest w
zaufanych
CA w zaufanych

Certyfikaty CA zaszyte w urządzeniach
● Ćwiczenie: sprawdź jakie CA masz w swoim
telefonie
● Np. iOS8 ma m.in. certyfikaty rządów:
Chin: China Internet Network Information Center
Hong Kongu: Hongkong Post e-Cert.
Japonii: 3 CA
Holandii: 3 CA (PKIoverheid)
Taiwanu: Government Root Certification Authority
Turcji: Scientific and Technological Research Council of Turkey
USA: 5 CA, Department of Defense

SSL – „Man in the middle”
CA
?
Verisign
www.pewnafirma.pl
Verisign
www.pewnafirma.pl

Stosunkowo często...
sslcontext = SSLContext.getInstance("TLS");
atrustmanager = new TrustManager[1];
atrustmanager[0] = new EasyX509TrustManager(null);
sslcontext.init(null, atrustmanager, null);
Pusty TrustManager – akceptuje wszystkie certyfikaty

Przechwytywanie ruchu SSL
● Certyfikat CA Burp-a

Instalujemy w urządzeniu
● Aplikacja używa domyślnego
truststore urządzenia
– Android > 4 – w interfejsie
– Wrzucamy na kartę SD (plik .crt)
adb push cacert.der /sdcard/cacert.crt
– „Zainstaluj z karty SD”
● Certyfikat zaszyty w aplikacji
(pinning)
– Podmieniamy w paczce aplikacji

API
API – błędy kontroli
dostępu, logiczne,
konfiguracji...

Mobile CAPTCHA
● Proces rejestracji, potwierdzanej SMS
● CAPTCHA w celu ograniczenia masowego
nadużycia procesu (koszty SMS, przeciążenie
systemu...)
● Należy kliknąć w odpowiedni obrazek (1 z 6)

Mobile CAPTCHA
● Pomysł chybiony już w założeniach
– Prawdopodobieństwo trafienia „na ślepo” bardzo
wysokie
● W implementacji jeszcze gorzej
– Każdy obrazek to inny statyczny plik, intruz może je zindeksować
i ustalić w którym miejscu jest obrazek przedstawiający żądane
słowo

REST API
fragment otrzymanej dokumentacji REST API

Żądanie HTTP po przechwyceniu
GET /services/history/account/85101022350445200448009906 HTTP/1.1
SA-DeviceId: 940109f08ba56a89
SA-SessionId: 826175
Accept: application/json
Host: acc
Connection: Keep-Alive
User-Agent: Apache-HttpClient/UNAVAILABLE (java 1.4)
GET /services/history/account/45101022350445200448005388 HTTP/1.1
Host: acc
Podmiana nr rachunku – uzyskujemy cudze dane

Dane użytkownika
Użytkownik 1
GET /services/user/profile HTTP/1.1
SA-DeviceId: d4c79a0fd994b1f8
Host: acc

Dane użytkownika
Użytkownik 1
SA-DeviceId: d4c79a0fd994b1f8
Host: acc
Użytkownik 2
Host: acc
DeviceId jedynym zabezpieczeniem

Historia pewnej aplikacji...
● Mnóstwo błędów kontroli dostępu
● Po zgłoszeniu dostawcy:
„Kontrola dostępu w aplikacji jest, tylko na
testowym środowisku wyłączona”
● Pomimo napiętych terminów włączyć się udało
dopiero po kilku tygodniach ;)

Przechwytywanie ruchu – utrudnienie

Prawdopodobnie powstrzyma
przypadkowych...
http://www.recreateweb.com.au/web-development/respond-2014-what-responsive-web-design-can-learn-from-accessibility-best-practice/

...oraz masowych intruzów
http://www.recreateweb.com.au/web-development/respond-2014-what-responsive-web-design-can-learn-from-accessibility-best-practice/

A Was?
#1 – żeby coś zaatakować
trzeba zrozumieć jak to działa
https://www.flickr.com/photos/itspaulkelly/633298765

Zaszyfrowany ruch
Jak się dobrać do transmisji?
KLUCZ PUBLICZNY
LOSOWY
KLUCZ SESJI
SESYJNY DO SERWERA
TRANSMISJA ZASZYFROWANA
KLUCZEM SESJI

Drobne usprawnienie aplikacji
– stały klucz w SMALI
new-array v8, v8, [B
fill-array-data v8, :array_5a
return-object v8
:array_5a
.array-data 1
0x44t
0x2bt
0x72t
(...)

Niektóre schwytane problemy REST
● Błędy kontroli dostępu
● Nieprawidłowa obsługa sesji
● Błędy uwierzytelnienia i
autoryzacji
● Błędy logiczne
● SQL injection
● Błędy architektury/konfiguracji
● ...
https://www.flickr.com/photos/elycefeliz/6648603999

Część z ryzyk do ogarnięcia

Czekamy na Was!
slawomir.jasek@securing.pl
Darmowe konsultacje:
www.securing.pl/konsultacje
Pracuj z nami:
http://www.securing.pl/pl/kariera.html

Testowanie bezpieczeństwa aplikacji mobilnych

Recommended

Recommended

More Related Content

What's hot

What's hot (15)

Viewers also liked

Viewers also liked (17)

Similar to Testowanie bezpieczeństwa aplikacji mobilnych

Similar to Testowanie bezpieczeństwa aplikacji mobilnych (20)

More from Slawomir Jasek

More from Slawomir Jasek (8)

Testowanie bezpieczeństwa aplikacji mobilnych