تست نفوذ اپلیکیشن موبایل به معنای ارزیابی برنامه های موبایل در جهت شناسایی و رفع آسیب پذیری ها است یکی از متداول ترین مشکلات امنیتی در برنامه های موبایل خطر افشا شدن داده های کاربر می باشد.

محدوده شامل هدف ها یا آسیب پذیری ها و محدودیت های در تست می باشد. مشخص کردن محدوده کمک می کند ارزیابی یا آزمایش بدون هدف نداشته باشیم.

برنامه های APK دسترسی به سورس در بسیاری از موارد میسر هست در حالی که در IPA از این خبرها نیست.

تجزیه و تحلیل استاتیک شامل بررسی کد APK یا باینری برنامه برای شناسایی آسیب‌پذیری‌های احتمالی بدون اجرای برنامه است.

تجزیه و تحلیل پویا شامل اجرای برنامه در یک محیط کنترل شده برای مشاهده رفتار آن و شناسایی آسیب پذیری های زمان اجرا است.

حمله Man-in-the-Middle ارتباط بین یک برنامه و سرور آن را شنود کرده و آن را تغییر می دهد. اقدامات پیشگیرانه شامل رمزگذاری SSL/TLS و ssl pinning است.

مراحل زیر را انجام می دهم:

1. Information Gathering
2. Threat Modeling
3. Static Analysis
4. Dynamic Analysis
5. Reverse Engineering
6. Security Assessment
7. Code Review
8. Vulnerability Exploitation
9. Reporting

توسط OWASP Mobile Top 10 فهرستی از ده خطر مهم امنیتی است که برنامه های موبایل با آن مواجه هستند. درک این آسیب پذیری ها کمک می کند تا بتوانیم در برنامه های مختلف آن ها را کشف کنیم

1. Insecure Data Storage
2. Unintended Data Leakage
3. Insecure Communication
4. Client-Side Injection
5. Code Tampering
6. Unauthorized Access & User Authentication
7. Jailbreaking/Rooting Detection
8. Push Notification and Data Leakage
9. Cryptographic Issues
10. Privacy Concerns

• احراز هویت مکانیسم های ورود به برنامه است یا Authentication
• ولی مجوز مربوط به دسترسی به قسمت های مختلف یا قابلیت های مختلف است یا Authorization

به معنای آنالیز باینری ( کدهای کامپایل شده است) جهت شناسایی آسیب پذیری است.

توسط SSL pinning مانع از حمله ssl strip 2 است.

باید بررسی شود تا اطلاعات حساس مثل رمز عبور یا داده های شخصی به صورت ناامن یا غیر قابل محافظ ذخیره نشده باشد.

مهندسی معکوس با پیاده سازی مبهم سازی و پک کردن برنامه ها سخت می شود لذا برای اینکه ببینیم چقدر برنامه مقاوم است.

تست نفوذ API شامل چک موارد زیر است :

• authentication
• input validation
• access control mechanisms

برای این کار باید integrity چک شود و همچنین تشخیص داده شود دیوایس root/jailbreak شده است یا نه.

ابزارهای بسیاری در طول پروژه استفاده می شود بعضی از آن ها : Burp Suite، Frida، MobSF و drozer.

بله من در آخرین تست یه برنامه بانکی تست می کردم: اول برنامه دانلود کردم و وقت گذاشتم کلیه قابلیت های برنامه رو تست کردم به عنوان یک یوزر مکانیسم احراز هویت درآوردم بعد رفتم سراغ اینکه ببینم چطور میشه مکانیسم های احراز هویت، رمزنگاری، امکان شنود دور بزنم یا نه، مدیریت session ، قابلیت 2fa، چک برای بالا بردن سطح دسترسی، بدست آوردن API تست روی آن ها و … در طول تستم چندین مورد برخورد کردم و در گزارش تمامی تست ها و آسیب پذیری های کشف شده را همراه با مستند تکمیل کردم.

شیوه‌های کدنویسی امن، مانند اعتبارسنجی ورودی، مدیریت صحیح خطا، و استفاده از کتابخانه‌های رمزنگاری امن، برای امنیت برنامه‌های تلفن همراه بسیار مهم هستند.

تست روی این لایبرری بیشتر سمت چک آسیب پذیری ها مرسوم + ورژن استفاده شده در برنامه می باشد.

گزارش نویسی به شکل استاندارد است:

• بخش غیر فنی برای مدیران شامل ریسک ها و تاثیر روی ذینفعان
• بخش فنی آسیب پذیری های شناخته شده POC و لیست تست های انجام شده
• بخش پیشنهادی برای رفع مشکل ورژن لایبرری بروز شده یا شیوه جلوگیری از سو استفاده

مراحل که من پیش می گیرم به ترتیب درک معماری سپس عملکردها و در گام آخر جریان داده برنامه ها را تست می کنم.

یکی از پروژه ها با برنامه مواجه شدم که پک شده بود و مدت زمانی صرف پیدا کردن روش unpack کردن کردم . سپس به کمک APKTool اقدام به static analysis کردم. برای dynamic analysis از Frida کمک گرفتم

شرکت در کنفرانس های امنیتی، خواندن مقالات تحقیقاتی، کامیونیتی ، و دنبال کردن کارشناسان امنیتی و وبلاگ ها است.

ارزیابی برنامه های تلفن همراه با فناوری های جدید مستلزم درک مفاهیم امنیتی آنها، تحقیق در مورد آسیب پذیری های بالقوه و انطباق روش های آزمایش بر این اساس است.

وقتی یک برنامه ای از API استفاده می کند برای تست ابتدا باید documentation کامل مطالعه کرد تا با سازگار API آشنا شد و سپس روی آسیب پذیری ها وقت گذاشت بدون اطلاعات کافی این امر امکان ناپذیر است.

وقتی صحبت از فضای ابری یا cloud میشه چند مورد زیر را بررسی می کنم

• Encryption
• Access control
• Communication protocols between app and cloud

در پروژه های تست نفوذ بدون شک نمی توان از استفاده از ابزار امتناع کرد ولی به صورت کلی من برای اسکن های اولیه از ابزار و بعد از آن حتما بررسی دستی را انجام می دهم تا با False positive مواجه نشوم!

بررسی کد منبع یک اپلیکیشن موبایل در مقیاس بزرگ مستلزم استفاده از ابزارها هست. من از ابزار SonarQube استفاده می کنم.

برای اینکار روی ریسک های مالی با توجه به یافته های فنی ( آسیب پذیری ها) تمرکز میکنم و با نمودار برایشان شرح می دهم چه میزان ضرر خواهند دید مدیران هیچ دیدی نسبت به داده فنی ندارن از اصطلاحات فنی اکسپلویت آسیب پذیری در جلسه امتناع میکنم!

محیط های DevOps ممکن است به دلیل انتشار مکرر کد منجر به آسیب پذیری شوند.باید در فرآیند CI/CD چک امنیتی انجام شود که به آن DevSecOPS می گویند. حالا می تواند از ابزارهای خودکار در سطح کد یا حالت اجرایی برنامه باشد.

https://attack.mitre.org/matrices/mobile/

برای شناسایی خطرات بالقوه استفاده از Threat modeling بسیار مهم است. این شامل درک معماری برنامه، شناسایی تهدیدها، و اجرای کنترل های امنیتی برای کاهش خطرات است.

با توجه به قرارداد و قوانین وضع شده تست ها را انجام می دهم.

ارزیابی احراز هویت بیومتریک شامل ارزیابی اجرای برنامه، شناسایی آسیب‌پذیری‌های احتمالی و تأیید امنیت ذخیره‌سازی داده‌های بیومتریک است.

جنبه‌های امنیتی نادیده گرفته شده ممکن است شامل APIهای نادیده گرفته شده، اعتبارسنجی ضعیف داده‌ها و امنیت ناکافی در ویژگی‌های کمتر مورد استفاده باشد. تاکید بر شیوه های کدگذاری ایمن و آزمایش جامع می تواند این مشکلات را برطرف کند.

وقتی نتوانم برنامه را unpack کنم وقت خودم را روی dynamic analysis و runtime analysis می گذارم.

یکی از رایج ترین اشتباهات در توسعه برنامه های موبایل استفاده از SDK third party که اصلا چک امنیتی نشده اند یا حتی ورژن قدیمی آن ها توسط Developer در پروژه استفاده شده که تاثیر مشکل امنیتی در خود برنامه وجود خواهد داشت.

تست نفوذ هر پلتفرم نیازمند دانش روی ویژگی های امنیتی، آسیب پذیری ها در آن پلتفورم خاص و روش تست مخصوص آن پلتفرم می باشد یعنی باید معماری iOS و Android را به خوبی بشناسیم تا بتوانیم در تست نفوذ برنامه های آن ها موفق باشیم.

بدون شک تمرین شرکت در CTF و استفاده از تجربه اشخاصی که مدت زمان زیادی در این حوزه فعالیت کرده اند.