Confie nas Aplicações Mobile

Você conﬁa nas aplicações
mobile?
Wagner Elias
Vale Security Conference - 03 Set. 2011

Monday, September 5, 2011

Bypass de Autorização



Vazamento de Informações
sensíveis sobre o usuário



Vazamento de Informações
sensíveis sobre o usuário

Possibilitava a interceptação da
senha do usuário


Um pouco sobre estas
aplicações


Arquitetura Android
Application

Android Framework

Android Libraries Android Runtime (Dalvik)

Linux Kernel

Hardware/Firmware e Processador depende do
dispositivo que roda o OS Android


Anatomia de uma aplicação
Android
É responsável por tratar os eventos da tela como: clique do
Activity
botão na tela, escrever um texto dinamicamente na tela

Similar a uma Activity mas pode ser extendida,
Service
possibilitando comunicação entre outros services

Content Implementa um método de acesso a dados armazenados
Provider nos repositórios disponíveis no aparelho

Broadcast Criada para receber em segundo plano mensagens
Receivers (intents) trocadas entre aplicações

Process and Por padrão cada aplicação rodando gera um processo no
Tasks kernel linux


JVM x Dalvik VM
Java Source Java Source

Java Java
Compiler Compiler

Java Byte Java Byte
Code Code
Dex
Compiler

Dalvik Byte
Code

Dalvik Executable
JVM Dalvik VM


APK Files
Arquivo que contem os itens que
compoem uma aplicação Android
‣ AndroidManifest.xml
‣ Classes compiladas em .dex
‣ Outros arquivos XML relacionados as
telas


AndroidManifest.xml
codiﬁcado


AndroidManifest.xml
decodiﬁcado


Arquitetura iPhone
Application

Framework (Cocoa)

ObjetiveC Runtime

iOS

Processador (ARM)

Firmware

Hardware


Anatomia de uma aplicação
iPhone
User
Interface da aplicação que interage com a Cocoa touch
Interface

Cocoa Touch API que interage com os recursos do i(Phone|Pad|Pod)

Linguagem baseada em C com orientação a objetos
Objective C
baseada no SmallTalk


OWASP Top10 Mobile
Risks


OWASP Top 10 Mobile Risks
1 Inseguro ou desnecessário armazenamento de dados em
Client-Side

2 Falta de proteção de dados em trânsito

3 Vazamento de dados pessoais

4 Incapacidade de proteger os recursos com autenticação

Incapacidade de implementar o princípio do menor
5 privilégio


OWASP Top 10 Mobile Risks
6 Injeção em Client-Side

7 Negação de Serviços em Client-Side

8 Código de terceiro mal intencionado

9 Buﬀer Overﬂow

10 Falha ao implementar controles em Server-Side


Tipos de Análise


Análise Dinâmica
Com a aplicação rodando é análisado o seu
comportamento:

‣ Debugging
‣ Network Traﬃc
‣ Acesso e Comunicação (HTTP/SOAP/Etc...)
‣ Acesso a File System
‣ Armazenamento e Leitura de Dados


Análise Estática

Análise onde é feita uma engenharia reversa da aplicação
e realizado as seguintes análises

‣ Source Code Review
‣ Análise de Strings Hardcoded
‣ Análise de Armazenamento de Dados
‣ Análise de Cache


Como realizar uma análise
dinâmica

Mobile Proxy Web
Application Charles/Burp/WebScarab

Proﬁle and
Analysis
Tools


Android Static Analysis
1 Descompactar o pacote .apk usando ferramentas de
descompressão de arquivos zip

2 Decodiﬁcar os arquivos XML usando o axml2xml.pl

Converter arquivos compilados em .dex para bytecode
3 java usando o dex2jar

4 Decompilar código java usando JAD

5 Analisar o código fonte Java


iPhone Static Analysis
1 Decompilar binários compilados em ObjectiveC usando o
otool ou class-dump-x

Realizar análise estática manual ou automatizada usando
2 Clang


Ferramentas Utilizadas
para análise


Gerais
‣ IDE (Sugestões)
‣ Eclipse para o Android
‣ Xcode para o iPhone
‣ Emulador
‣ Ambas as plataformas possuem emuladores
‣ Client para Database
‣ As duas plataformas armazenam dados locais usando
SQLite3


Manifest Explorer e
Package Play

Manifest Explorer : Aplicação Android para analisar o
arquivo AndroidManifest.xml
‣ http://www.isecpartners.com/mobile-security-tools/manifest-explorer.html
Package Play: Identiﬁca todos os pacotes instalados no
dispositivo
‣ http://www.isecpartners.com/mobile-security-tools/package-play.html


Intent Sniffer e Intent
Fuzzer

Intent Sniffer: Monitora toda a comunicação gerada via
Intent que a aplicação realiza
‣ http://www.isecpartners.com/mobile-security-tools/intent-sniffer.html
Intent Fuzzer: Fuzzing de Intent entre as aplicações
‣ http://www.isecpartners.com/mobile-security-tools/intent-fuzzer.html


APKinspector
Uma ferramenta gráﬁca que faz toda a engenharia
reversa de um APK e apresenta as seguintes informações:

‣ Flow Graph
‣ Dalvik Codes
‣ Java Bytecode
‣ Java Code
‣ AndroidManifest.xml

http://code.google.com/p/apkinspector/

SQLite Manager


Instruments

Demo

Shark

Demo

Recursos do Xcode

Demo

Clang

http://clang-analyzer.llvm.org/

Você ainda conﬁa?


Wagner Elias, CTO
welias@conviso.com.br
@welias

www.conviso.com.br

32


Referências
‣ Books

‣ Mobile Application Security [Paperback]

‣ Beginning iPhone 4 Development: Exploring the iOS SDK [Paperback]

‣ The Busy Coder's Guide to Advanced Android Development [Paperback]

‣ The Android Developer's Cookbook: Building Applications with the Android SDK (Developer's Library) [Paperback]

‣ Papers

‣ Desenvolvimento iOS (http://blog.mobilizando.com.br/wp-content/uploads/2011/05/Desenvolvimento_iOS.pdf)

‣ Android Attacks (https://www.immunityinc.com/inﬁltrate/presentations/Android_Attacks.odt.pdf)

‣ Penetration test android applications (http://www.mcafee.com/us/resources/white-papers/foundstone/wp-
pen-testing-android-apps.pdf)

‣ Penetration test android applications (http://www.mcafee.com/us/resources/white-papers/foundstone/wp-
pen-testing-iphone-ipad-apps.pdf)


Confie nas Aplicações Mobile

Recomendados

Recomendados

Mais conteúdo relacionado

Semelhante a Confie nas Aplicações Mobile

Semelhante a Confie nas Aplicações Mobile (20)

Mais de Conviso Application Security

Mais de Conviso Application Security (20)

Confie nas Aplicações Mobile