С каждым годом мобильных приложений становится все больше, но мало кто обращает внимание на безопасность этого приложения, когда оно находится в процессе разработки. Так как бизнес нацелен только на то, чтобы оторвать большую часть пользователей, которые будут использовать это приложение, они обращают внимание на конфиденциальность своих клиентов в последнюю очередь. В своем докладе я расскажу как мануал QA может проверить мобильное приложение на уязвимости и найти топовые дыры по рейтингу OWASP. В презентации будут использованы такие тулзы Santoku Linux + Genymotion.

1. QA CONFERENCE #1 IN UKRAINE
KYIV 2019
Как найти уязвимости в мобильном
приложении Android

2. - QA gangsta Lead в
- Больше 4 лет тестирую на наличие Web уязвимостей
- Больше 7 лет в тестировании
- Провожу обучение по Security testing
https://svyat.tech/OWASP-TOP-10-Training/
- Веду блог по Security testing https://svyat.tech
Свят Логин

3. В evo.company входят такие проекты:

4. Немного статистики

5. Статистика уязвимостей Android по годам
https://www.cvedetails.com/product/19997/Google-Android.html?vendor_id=1224

6. Статистика уязвимостей IOS по годам
https://www.cvedetails.com/product/19/Cisco-IOS.html?vendor_id=16

7. Статистика уязвимостей Android по типу
https://www.cvedetails.com/product/19997/Google-Android.html?vendor_id=1224

8. Статистика уязвимостей IOS по типу
https://www.cvedetails.com/product/19/Cisco-IOS.html?vendor_id=16

9. Использование версий Андроид

10. Mobile OWASP TOP 10
M1 Обход архитектурных ограничений (Improper Platform Usage)
M2 Небезопасное хранение данных (Insecure Data Storage)
M3 Небезопасная передача данных (Insecure Communication)
M4 Небезопасная аутентификация (Insecure Authentication)
M5 Слабая криптостойкость (Insufficient Cryptography)
M6 Небезопасная авторизация (Insecure Authorization)
M7 Контроль содержимого клиентских приложений (Client Code Quality)
M8 Модификация данных (Code Tampering)
M9 Анализ исходного кода (Reverse Engineering)
M10 Скрытый функционал (Extraneous Functionality)

11. Mobile OWASP TOP 10 2018

12. Уровни безопасности Андроид
1) В операционной системе
- держит установленные приложения
изолированными друг от друга
2) В самом приложении
- настройка доступа приложения к другим
приложениям

13. Инструментарий

14. Инструментарий (Genymotion)

15. Genymotion

16. Genymotion (Версия > 5)
Рутированный

17. Инструментарий (Santoku)

18. 1) M9 Reverse Engineering

19. 1) M9 Reverse Engineering

20. 1) M9 Reverse Engineering

21. 2) M1 Improper Platform Usage

22. 2) M1 Improper Platform Usage

25. 3) M2 Insecure Data Storage

26. 3) Проблемы хранения
1) Хранения конфиденциальных данных без крипты
2) Апки могут делится данными с другими апками:
- /data/data/[название пакета]/
- Базе данных
- Временным файлам

27. 3) M2 Insecure Data Storage

29. 4) M3 Insecure Communication

30. 4) Важность протокола

31. 4) Плохой вид передачи данных

32. 4) Хороший вид передачи данных

33. 5) M5 Insufficient Cryptography

34. 5) M9 Reverse Engineering

36. 5) online decrypt

37. 6) M4 Insecure Authentication + M6 Authorization

38. SQL i6) M4 Insecure Authentication + M6 Authorization
App
Admin
User
Supervisor
Manager
User Admin
Just User
User Supervisor
User Manager
web_app.com/ admin/
web_app.com/order/1235

39. Инструментарий Burp Suite

40. 6) Подбор данных

41. 7) M7 Client Code Quality

42. 7) M7 Client Code Quality

43. 7) M7 Client Code Quality

44. 7) M9 Reverse Engineering

45. 8) M8 Code Tampering

46. 8) M9 Reverse Engineering

47. 8) M8 Code Tampering

48. 9) M10 (Extraneous Functionality) Hard Coding

49. 9) M10 (Extraneous Functionality)

51. Инструментарий Drozer

52. Коннект к девайсу с ОС

53. Список всех команд Drozer

54. Проверка какие проги установлены

55. Нахождения слабого места

56. Контент в открытом доступе

57. Профит презентахи
Всего за 40 минут, вы потеряли 40 минут)))

58. KYIV 2019
Спасибо за внимание!
svyat.tech
WITH PASSION TO QUALITY QA CONFERENCE #1IN UKRAINE