Eritrereto ny fampiharana finday toy ny vault nomerika , mitazona ny zava-drehetra manomboka amin'ny tenimiafina mpampiasa ka hatramin'ny antsipirian'ny fandoavam-bola. Amin'ny maha-mpanandrana ny fidirana, ny andraikitrao dia ny miantoka fa voaisy tombo-kase mafy ny vault — ela be alohan'ny hiezahan'ny tena mpanafika hidirana. Amin'ity torolalana ity dia hitondra anao izahay amin'ny dingana manontolo amin'ny pentesting amin'ny finday , manomboka amin'ny fanangonana ny fitaovana mety ho famakafakana kaody sy fifamoivoizana. Andao hitsambikina!

Sava lalana

Miaina ao anatin'ny tontolo iray izay saika fanitarana ny tenantsika ny fitaovana finday. Satria ny olona dia manao ny banky , miantsena ary mifanerasera amin'ny finday, ny fiantohana ny fiarovana ny fampiharana no zava-dehibe indrindra. Ary izany no maha-zava-dehibe ny pentest amin'ny finday: maka tahaka ny fanafihana amin'ny fampiharana izahay mba hampiharihary ny fahalemena ary hanampy ny mpamorona hametaka azy ireo.

Ity ny zavatra ho anao:

• Filaminan-tsaina : Tsy ho very torimaso ianao noho ny fahatapahan'ny angon-drakitra na ny fahazoan-dàlana halatra.
• Fanaraha-maso : Mitaky fenitry ny fiarovana mafy ny mpitantana (sy ny mpampiasa anao).
• Fanatsarana ny laza : Ny fampiharana azo antoka dia midika ho mpanjifa sambatra kokoa ary tsy dia atahorana ny lohateny ratsy.

Inona no atao hoe Mobile Pentesting?

Amin'ny fotony, ny pentest amin'ny finday dia ny fitadiavana fomba famoronana hidirana amin'ny fampiharana iray — tahaka ny ataon'ny tena mpanafika — mba hahafahanao manamboatra ny fahalemena aloha. Tsy mitovy amin'ny pentest an-tranonkala mahazatra izany satria ny fampiharana finday:

• Mihazakazaka amin'ny sehatra tsy manam-paharoa : Samy manana ny fitsipiny, ny modely fiarovana ary ny quirks ny Android sy iOS.

• Mitahiry angona amin'ny fitaovana : azo tehirizina eo an-toerana ny fampahalalana saropady, ka zava-dehibe ny fandinihana ny fitahirizana manokana.

• Miantehitra mafy amin'ny API : Matetika ny fampiharana finday dia miresaka amin'ny mpizara backend amin'ny alàlan'ny API, izay mety ho diso firindrana na mora simba raha tsy voazaha tsara.

  
  

Ny fanamby mahazatra dia ny fiatrehana ny fakana ny faka/jailbreak , ny fandalovana ny fametahana SSL , ary ny famakafakana ny lojika amin'ny lafiny mpanjifa sy amin'ny server .

Fandrahonana mahazatra ny fampiharana finday

Alaivo sary an-tsaina ny trano mimanda tamin'ny Moyen Âge — ireto no “faritra malemy” lasibatry ny mpanafika:

1. Fitehirizana angona tsy azo antoka
   • Ny mari-pamantarana saro-pady na ny fahazoan-dàlana ho an'ny mpampiasa dia avela tsy voafehy ao amin'ny fitaovana.
2. Fanaraha-maso amin'ny lafiny mpizara malemy
   • Tsy ampy ny fanamarinana ny fampidirana na ny lojika API diso izay azon'ny hackers ampiasaina.
3. Tsy ampy ny fiarovana sosona fitaterana
   • Mampiasa HTTP na HTTPS diso, mamela ny mpanafika hanakana na hanova ny fifamoivoizana amin'ny tambajotra.
4. Fanamarinana tsy azo antoka sy fanomezan-dàlana
   • Rafitra fidirana, fitantanana session, na fanamarinana fahazoan-dàlana tsy ampiasaina.
5. Fahasalamana amin'ny lafiny mpanjifa

   • Kaody azo amboarina mba hamoahana tsiambaratelo, na lojika azo amboarina amin'ny fotoana fandehanana.

     
     

Zahao ny OWASP Mobile Top 10 sy ny Mobile Application Security Testing Guide (MASTG) raha mila fanazavana fanampiny momba ireo loza ireo. Toy ny sarintany manasongadina ny mety ho fandrika rehetra izy ireo.

Miomana amin'ny Fitsapana finday

Alohan'ny hanafika ny lapa dia mila ny fiadiana sy fitaovam-piadiana mety ianao. Amin'ny teny penttesting, midika izany fa manangana tontolo iray ahafahanao manao fanandramana am-pilaminana tsy manimba ny angona tena izy. Andeha hojerentsika ny fototra ho an'ny Android sy iOS.

Android

Rehefa manandrana fampiharana Android ianao dia afaka manodina fitaovana virtoaly mampiasa fitaovana toy ny Android Emulator na Genymotion . Ireo emulator ireo dia mamela anao hametraka sy hitsapana fampiharana haingana nefa tsy mila fitaovana ara-batana. Ny dingana antsipirihan'ny fametrahana iray dia azo jerena ato amin'ity torolàlana ity .

Android Emulator

Na izany aza, ny fampiasana fitaovana ara-batana matetika dia manome valiny marina kokoa — indrindra rehefa mila mitsapa ny toetry ny tambajotra, ny sensor, na ny fanamarinana biometrika ianao. Raha mikasa fitsapana mandroso kokoa ianao toy ny fisavana ny faka na ny angona forensika lalina, dia tombony lehibe ny fananana fitaovana tena izy.

Raha manapa-kevitra ny hividy na hindrana fitaovana voatokana ianao, dia tadidio fa mora kokoa ny miongotra ny finday Android sasany. Manome anao fidirana lalindalina kokoa amin'ny rafitra fiasana ny fakan-tsary, ahafahanao mamakafaka ireo rakitra miafina, mandingana ny famerana ny fampiharana, ary mampiasa fitaovana mahery vaika izay mitaky fahazoan-dàlana ambony.

tsy maintsy hongotantsika

Android Rooting dia toy ny fitadiavana skeleton fanalahidin'ny ny finday rafitra miasa. Amin'ny ankapobeny dia:

1. Sokafy ny bootloader.
2. Ampidiro ny fanarenana mahazatra (oh: TWRP).
3. Mametraka fitaovana fitantanana faka toa an'i Magisk na SuperSU .

Ny telefaona sy OS tsirairay dia manana ny quirks, koa miomàna amin'ny fanandramana vitsivitsy. Ny vaovao tsara dia rehefa miorim-paka ny fitaovana iray, dia mijanona ho toy izany amin'ny ankapobeny raha tsy manamboatra na manavao ny firmware ianao. Ataovy ao an-tsaina fa ny iOS jailbreaks dia mety ho very aorian'ny reboot-ka ny Android indraindray dia manolotra sehatra maharitra kokoa hanaovana fitiliana.

Araho foana ny torolalana azo itokisana ho an'ny findainao manokana—ny fakana tsy mety dia mety hanimba ny rindrambaiko na hampiditra lavaka fiarovana. Ary mazava ho azy, avereno avereno ny angonao alohan'ny hidiranao! Ohatra amin'ny fakana ny Pixel 3a

taratasy fanomezam-pahefana

Eritrereto ny proxy toa an'i Burp Suite ho "spyglass" anao. Mamela anao hahita sy hanova ny fifamoivoizana rehetra miditra sy mivoaka ao amin'ny app izany. Hahita fifandraisana tsy azo antoka ianao, fanamarinana diso, na fangatahana alokaloka. Ny fametrahana proxy ho an'ny finday dia mitovy amin'ny iOS sy Android. Afaka mahita torolàlana ofisialy ho an'ny sehatra tsirairay ianao eto .

Ny zavatra dia lasa sarotra amin'ny rafitra sasany:

• Indraindray i Xamarin dia tsy miraharaha ny firafitry ny proxy manerana ny rafitra noho ny tranomboky tambajotra mahazatra.

• Mety hanaja ny proxy i Flutter fa mety hampihatra ny fametahana taratasy fanamarinana , manakana anao tsy hijery fifamoivoizana.

  
  

Mba handresena ireo sakana ireo dia azonao atao ny manitsy ny kaody, mampiasa fitaovana toa an'i Frida na Objection mba hamonoana ny fametahana na hananganana proxy mivadika (oh: mitmproxy ) hisambotra fifamoivoizana. Anisan'ny mahafinaritra ny fampifanarahana ny fomba fanaonao!

Fametrahana fampiharana

Raha mbola tsy ao amin'ny Google Play Store ny fampiharana — mahazatra ho an'ny pentests — dia mety hanana rakitra APK ianao hamindrana. Azonao atao ny mizara ny APK amin'ny Google Drive na rohy fampidinana mivantana. Safidy hafa mety dia ny fampiasana Firebase App Distribution , izay mikarakara fitiliana amin'ny fandefasana fanasana amin'ireo mpandray anjara.

iOS

Amin'ny iOS, fitaovana ara-batana ihany koa dia manolotra traikefa fitsapana tena izy. Azonao atao ny mitsoraka amin'ny endri-javatra manokana amin'ny fitaovana toy ny Face ID , Touch ID , ary sensor raha mbola maka ny fifaneraserana amin'ny tambajotra tena izy. Raha mividy na mampiasa fitaovana manokana ianao dia diniho ireo modely fantatra fa tsotra kokoa amin'ny jailbreak (satria tsy ny iPhones rehetra no mitovy amin'io dingana io). Raha mila fitaovana iOS virtoaly ianao, Corellium dia manome fitsapana mahery vaika mifototra amin'ny rahona, na dia tsy maimaim-poana aza izany. Ny ankamaroan'ny mpanandrana dia mbola miantehitra amin'ny fitaovana ara-batana mba hanamarinana tsara.

Jailbreaking

Ny iOS Jailbreaking dia mahatsapa ho toy ny manala ny padlocks napetrak'i Apple amin'ny fitaovany. Mahazo tombontsoa miorim-paka ianao, mamela anao hametraka tweaks, hijery ny lahatahiry rakitra miafina, na handefa script pentesting mandroso. Ny fitaovana malaza dia ahitana unc0ver sy Checkra1n . Ny safidy tsara indrindra dia miankina amin'ny dikan-iOS anao sy ny modely fitaovana.

Tsarovy:

• Ny fitaovana vaovao dia mety ho sarotra kokoa amin'ny jailbreak.
• Ny fiatoana jailbreak sasany dia tsy tafita velona amin'ny famerenana indray ("semi-untethered").
• Avereno foana ny iPhone-nao alohan'ny hikorontana amin'ny rakitra rafitra.

Mariho ihany koa fa ny sosona fiarovana sasany dia averina mandeha ho azy rehefa manomboka ny fitaovanao, ka mety mila jailbreak indray ianao isaky ny mandeha.

Fametrahana fampiharana

Ny fampiharana iOS dia tonga amin'ny rakitra IPA — mitovy amin'ny APK amin'ny Android. Amin'ny finday jailbroken dia azonao atao ny mametraka IPA amin'ny alàlan'ny mpitantana rakitra toa an'i Filza na fampiharana toa an'i Sideloadly . Ho an'ny lalana ofisialy kokoa, matetika ny mpamorona no miantehitra amin'ny TestFlight , izay ahafahan'izy ireo manasa mpitsikilo amin'ny alàlan'ny mailaka — tsindrio fotsiny ny rohy, ary iOS no mitantana ny ambiny.

Ny fametrahana ny tontolo iainanao araka ny tokony ho izy—fisafidianana ireo fitaovana mety (virtoaly na ara-batana), fanefena ny proxy, ary fahatakarana ny fomba fampidinana ny rindranasa—dia miantoka fa ho vonona amin'ny fidirana lalina amin'ny fiasan'ny fampiharana iray ianao. Mety mila fikojakojana kely izany, fa rehefa azonao izany fanamboarana tonga lafatra izany dia afaka manomboka ny tena pentesting!

Fanadihadiana static (SAST)

Andeha isika hiroso amin'ny fandinihana ilay fampiharana mihitsy — tsy mandeha amin'ny fomba feno. Toy ny mamaky ny drafitry ny trano mimanda izany alohan'ny hidiranao ao anatiny. Mitady zava-miafina voasokajy henjana izahay , fanitsiana tsy azo antoka ary olana hafa amin'ny rakitra kaody na config.

Sehatra fototra tokony hifantohana

1. Tsiambaratelo hardcode

   Ny fanalahidin'ny API, ny mari-pamantarana, ny fahazoan-dàlana ary ny fanalahidin'ny encryption indraindray dia miafara mivantana amin'ny kaody loharano. Raha mamadika ny fampiharana ny mpanafika, dia afaka manala ireo tsiambaratelo ireo amin'ny ezaka kely fotsiny izy ireo ary maka tahaka ny mpampiasa na serivisy.

2. Configuration tsy azo antoka

   Ny fahazoan-dàlana be loatra, ny saina debug navela, na ny fanaovana sonia tsy mety dia afaka manindrona ny fiarovan'ny fampiharana anao. Toerana tokana—toy ny NSAllowsArbitraryLoads ao amin'ny iOS Info.plist na android:debuggable="true"—dia afaka manokatra ny varavarana amin'ny fanafihana man-in-the-middle (MITM) na debugging tsy voaaro.

3. Fipoahana data saro-pady

   Ny fitehirizana mari-pamantarana fivoriana na fampahafantarana manokana amin'ny lahatsoratra tsotra ao amin'ny fitaovana (log, safidin'ny zaraina, rakitra eo an-toerana) dia fomba iray ho an'ny loza. Na iza na iza manana fidirana ara-batana na finday miorim-paka/jailbroken dia afaka mitsikilo sy mangalatra angon-drakitra sarobidy — tsy mila hery mahery vaika.

4. App lojika sy lesoka

   Matetika, ny olana fototra dia avy amin'ny fomba fampiharana ireo endri-javatra. Rehefa tsy hita na tsy ampiharina amin'ny fomba hentitra ny fisavana tena ilaina—toy ny fanamarinana—dia afaka mandingana mora foana ny fiarovan-tenanao ny mpanafika. Toy izany koa, ny fiasa kriptografika malemy na ny singa fampiharana tsy azo antoka dia afaka manamora ny fiainana ho an'izay rehetra mandinika ny fampiharanao.

Lisitry ny lisitra MSTG

Ny Mobile Security Testing Guide (MSTG) dia manolotra lisitry ny fanamarinana feno hanampiana anao amin'ny fomba famakafakana statika:

• [ ] MSTG-STORAGE-1 : Ny angona saropady dia tsy voatahiry tsy misy encryption ao amin'ny fitaovana.
• [ ] MSTG-STORAGE-2 : Tsy misy angon-drakitra saro-pady voatahiry ao anaty tahiry iombonana.
• [ ] MSTG-CRYPTO-1 : Fampiasana araka ny tokony ho izy ny algorithm kriptografika sy ny tranomboky.
• [ ] MSTG-NETWORK-1 : Fantsom-pifandraisana azo antoka (oh: HTTPS/TLS).
• [ ] MSTG-CODE-1 : Ny tsy fisian'ny tsiambaratelo voasokajy mafy ao amin'ny kaody loharano.
• [ ] MSTG-CODE-3 : Fampiharana araka ny tokony ho izy ny fametahana kaody.
• [ ] MSTG-RESILIENCE-1 : Fiarovana amin'ny injeniera mivadika.
• [ ] MSTG-RESILIENCE-2 : Tsy mandeha amin'ny famokarana ny fahaiza-manao debugging.
• [ ] MSTG-PRIVACY-1 : Fikarakarana araka ny tokony ho izy ny fahazoan-dàlana ho an'ny mpampiasa sy ny angona manokana.

SAST Tools

Ny fitaovana isan-karazany dia afaka manampy anao hamantatra ny kaody, ny configs ary ny binary nefa tsy mampiasa ny app:

MobSF (Rafitra fiarovana finday)

Fampiasana : Ampidiro ny APK/IPA ary ny MobSF dia hamokatra tatitra amin'ny antsipiriany: mitanisa ireo mety ho diso, fahazoan-dàlana mampiahiahy, na tsiambaratelo voasokajy mafy.

Bonus : Manana endri-javatra mavitrika ihany koa izy io, ka mahatonga azy ho vahaolana tsara ho an'ny rehetra.

APKTool (Android)

Fampiasana : Decompile ary avereno amboary ny APK iray hahitana ny ao anatiny. Ity dia tonga lafatra amin'ny famakiana AndroidManifest.xml, fandinihana loharano, na fanitsiana ny fampiharana.

apktool d app.apk -o output_director

JADX (Android)

Fampiasana : Hanova Dalvik bytecode (.dex) ho Java azo vakiana. Tsara amin'ny fijerena andalana misy kaody mety ho marefo, toy ny fanalahidin'ny API.

jadx app.apk -d output_directory

Class-Dump, Hopper, Ghidra (iOS)

Ampiasao : Esory ny lohatenin'ny kilasy Objective-C (Class-Dump) na esory ny binary iOS (Hopper/Ghidra). Raha Swiftified ny fampiharana dia ho hitanao ihany koa ny metadata Swift.

OHATRA

Android

• Fampahafantarana vaovao

• Ny fampiharana Android dia azo alaina avy amin'ny rakitra APK- ny amin'ny alàlan'ny fitaovana toy ny APKTool , JADX , na MobSF .

  Ity dingana ity dia mampiseho kaody loharano, rafitra fampiharana ary singa saro-pady toy ny rakitra AndroidManifest.xml na .smali, izay afaka mampiharihary ny lojikan'ny fampiharana sy ny fahazoan-dàlana.

  
  

• Mamela ny Cleartext Traffic

<application android:usesCleartextTraffic="true" />

Ny mpanafika dia afaka manararaotra ny fifandraisana tsy misy encryption (HTTP) ho an'ny fihainoana na fanodinkodinana.

• Application debuggable

<application android:debuggable="true" />

Na iza na iza manana fitaovana (na emulator) dia afaka mametaka debugger sy mikaroka amin'ny alàlan'ny angona na lojika saro-pady.

• Hardcoded API Keys

public class ApiClient { private static final String API_KEY = "12345-abcdef-67890"; private static final String API_SECRET = "superSecretPassword123!"; }

Ny decompile haingana miaraka amin'ny APKTool na JADX dia manambara ireo fanalahidy ireo, mamela ny mpanafika haka tahaka ny fampiharana na miditra amin'ny serivisy backend tsy nahazoana alalana.

• Data saro-pady amin'ny Plaintext

<map> <string name="session_token">abc123XYZ987</string> <string name="user_email">user@example.com</string> </map>

Raha voatahiry ao anaty lahatsoratra tsotra ny famantarana na ny antsipirihan'ny mpampiasa, dia afaka maka azy ireo mora foana ny fitaovana miorim-paka.

iOS

• Disconfigured Info.plist

<key>NSAppTransportSecurity</key> <dict>

<key>NSAllowsArbitraryLoads</key> <true/> </dict>

Apple dia manery ny fifandraisana azo antoka amin'ny alàlan'ny default, ka ny fanafoanana izany dia manokatra ny fampiharana amin'ny risika MITM na fifamoivoizana tsy voafehy.

Ny fitaovana famongorana toy ny Class-Dump , Hopper Disassembler , ary Ghidra dia manala ny votoatin'ny rakitra IPA an'ny fampiharana, ao anatin'izany ny kilasy Objective-C, anarana fomba, ary rakitra binary.

Fanadihadiana Dinamika (DAST)

Raha mandalina ny drafitry ny trano mimanda ny famakafakana static, dia mandehandeha ao anatin'ny lapa ny famakafakana mavitrika rehefa mijery ny varavarana sy ny varavarankely rehetra. Mandeha ny fampiharana izahay, mijery ny fihetsiny, ary mijery raha afaka manararaotra ny fahalemena amin'ny fotoana tena izy.

Sehatra fototra tokony hifantohana

1. Network Communication

   Ataovy azo antoka fa tsy mitete ny angon'ny fampiharana anao mandritra ny fitaterana. Raha miantehitra amin'ny HTTP na HTTPS tsy voarafitra ny fampiharanao, dia afaka miditra, manakana, na manova ny angona mihitsy aza ny mpanafika. Toy izany koa ny tsy hita na malemy SSL/TLS certificat pinning , mampibaribary ny fampiharanao amin'ny fanafihana man-in-the-middle (MITM).

2. Fanamarinana & Fanomezana

   Na dia mijery tsara amin'ny taratasy aza ny efijery fidiranao sy ny andraikitry ny mpampiasa, ny tena fitsapana dia raha misy olona afaka mandingana azy ireo amin'ny fotoana fandehanana. Ohatra, afaka mampiasa indray ny token'ny session ve ny mpanafika na maminavina azy? Miala tsara ve ny fampiharana sa mitazona ny fotoam-pivoriana misokatra mandrakizay?

3. Fanamarinana ny fahamendrehan'ny fotoana sy ny fiarovana

   Fampiharana maro no manandrana mamantatra raha toa ka miorim-paka (Android) na jailbroken (iOS) ny fitaovana iray ary avy eo dia mandà tsy handefa na hanakana ireo endri-javatra sasany. Mandritra ny famakafakana mavitrika, te-hahita raha afaka mandalo ireo fisavana ireo ianao amin'ny alàlan'ny fampifandraisana amin'ny kaodin'ny fampiharana, mba hahafahanao manohy ny fitsapana. Raha afaka mandingana mora foana ireo fepetra ireo ianao dia afaka ihany koa ny mpanafika.

4. Data leakage mandritra ny fanatanterahana

   Moa ve ny fampiharana dia mampiditra fampahalalana saro-pady (toy ny tenimiafina na famantarana) amin'ny plaintext? Rehefa mamadika fampiharana na lafika amin'ny fitaovana ianao, mbola miseho ve ny efijery misy angona tsiambaratelo? Ity karazana "mofo" tsy nahy ity dia mety hitarika ny mpanafika mankany amin'ny harena.

5. Fanamarinana API sy Server-Side

   Ny fampiharana dia mety ho azo antoka amin'ny fomba fijerin'ny mpanjifa, fa raha ny backend API dia tsy manamarina ny fanomezan-dalan'ny mpampiasa na ny fampidirana, ny mpanafika dia afaka manitsy ny fangatahana amin'ny lalitra mba hahazoana fidirana tsy nahazoana alalana na handrava ny rafitra. Zava-dehibe ny hizaha toetra ny fihetsiky ny mpanjifa sy ny mpizara miaraka.

Lisitry ny lisitra MSTG

Ny Mobile Security Testing Guide (MSTG) dia mirakitra fanadihadiana mavitrika ihany koa. Ireto misy fisavana tokony hotadidina:

• [ ] MSTG-RESILIENCE-1 : Ny fampiharana dia mahita sy misoroka ny fanodinkodinana na fanodikodinana andrana injeniera.

• [ ] MSTG-RESILIENCE-2 : Ny fampiharana dia mahita fitaovana miorim-paka na jailbreak.

• [ ] MSTG-RESILIENCE-3 : App dia manamarina ny fahamarinan'ny kaody sy ny loharanony amin'ny fotoana fiasana.

• [ ] MSTG-NETWORK-1 : Ny fampiharana dia mamadika ny fifamoivoizana amin'ny tambajotra amin'ny alàlan'ny kriptografika matanjaka.

• [ ] MSTG-NETWORK-3 : Mampihatra ny fametahana taratasy fanamarinana ny fampiharana raha azo atao.

• [ ] MSTG-PLATFORM-1 : Tsy miantehitra amin'ny rafitra fiarovana amin'ny sehatra irery ny fampiharana ary mampihatra ny fepetra fiarovana tsy miankina.

• [ ] MSTG-AUTH-2 : Ny fampiharana dia mampihatra araka ny tokony ho izy ny fotoana fiatoan'ny fotoam-pivoriana sy ny fepetra takian'ny mpampiasa.

• [ ] MSTG-STORAGE-4 : Tsy mampiditra angon-drakitra saro-pady amin'ny diarin'ny rafitra ny fampiharana.

• [ ] MSTG-STORAGE-5 : Tsy mitahiry angona saropady amin'ny toerana tsy azo antoka ny fampiharana.

• [ ] MSTG-CRYPTO-1 : Mampiasa algorithm kriptografika manara-penitra ny fampiharana amin'ny fampandehanan-draharaha.

  
  

Eritrereto ho toy ny tondrozotra ho an'ny andrana tena izy ireo. Izy ireo dia manampy anao hanidy ny varavarana sy ny varavarankely rehetra hanamarina fa mihidy.

DAST Tools

Tsy toy ny SAST, izay mifantoka amin'ny fisafoana kaody, ny DAST dia mihodina amin'ny fampandehanana ny fampiharana sy ny fanamarinana. Ireto ambany ireto ny fitaovana malaza hanamora izany dingana izany:

Burp Suite / OWASP ZAP

Fampiasana : Samy manakana proxy izay mamela anao hisambotra sy hanova ny fifamoivoizana eo amin'ny fampiharana sy ny lohamilina aoriana. Mety tsara amin'ny fijerena ireo teboka tsy azo antoka, lesoka amin'ny fotoam-pivoriana, na fivoahana angona.

Frida

Fampiasana : Kitapom-pitaovana mavitrika izay mifandray amin'ny fizotran'ny fandehanana, manampy anao handalo ny fametahana SSL, ny fakana faka/jailbreak, na ny famerana hafa amin'ny lafiny mpanjifa.

Common Frida Commands

Drozer (Android)

Fampiasana : Mifantoka amin'ny fisavana singa Android toy ny Activities, Services, Broadcast Receiver, ary mpanome votoaty noho ny fahalemen'ny fiarovana.

Common Drozer Commands

OLONA

Fampiasana : Namboarina tamin'ny Frida, saingy miaraka amin'ny baiko tsotra kokoa ho an'ny asa toy ny fanalana ny fametahana SSL na ny fijerena ny rafitry ny rakitra. Tonga lafatra raha tsy mpampianatra scripting ianao.

Didy fanoherana iombonana

OHATRA

Android

• Network Interception & Modification

Amin'ny alàlan'ny fampandehanana ny fifamoivoizana Android amin'ny alàlan'ny fitaovana toy ny Burp Suite , afaka manakana sy manova ny fangatahana ny mpanandrana. Ohatra, raha mandefa mari-pamantarana amin'ny HTTP ny fampiharana na tsy manamafy ny mari-pankasitrahana TLS araka ny tokony ho izy, dia afaka manao fanafihana man-in-the-middle (MITM) ny mpanafika.

POST /login HTTP/1.1 Host: api.example.com Content-Type: application/json { "username": "test_user", "password": "secret_password" }

Ny mari-pamantarana fivoriana, ny angon-drakitra manokana, na ny fampahalalana momba ny fandoavam-bola dia mety hiseho na hosodoko.

• Debug Logs manambara angona saropady

03-09 12:34:56.789 1234 5678 I MyAppLogger: User token = "abc123XYZ987" 03-09 12:34:56.789 1234 5678 I MyAppLogger: Payment info: "card_number=4111111111111111"

Na iza na iza manana ADB (na fampiharana ratsy) dia afaka mamaky ireo diary ireo ary manararaotra azy ireo.

• Hetsika tsy azo antoka / Mpanome votoaty

  
  

Amin'ny fampiasana Drozer , afaka mahita hetsika aondrana na mpanome votoaty tsy mila fanamarinana ny mpanandrana.

drozer console connect run app.provider.query

content://com.example.app.provider/users

Raha averina tsy misy alalana araka ny tokony ho izy ny angona dia afaka mamaky na manova ny mombamomba ny mpampiasa iray ny mpanafika.

• Mandingana ny fakana faka

Ny fitaovana toa an'i Frida na Objection dia mamela anao handalo ny fisavana ny fakany na ny fisavana fametahana SSL rehefa mandeha:

frida -U -n com.example.app --eval "..." objection -g com.example.app explore android sslpinning disable android root disable ios sslpinning disable ios root disable

Ireo mpanafika amin'ny telefaona miorim-paka dia afaka manohy ny fitsapana na mifandray amin'ny fiasa saro-pady, manambara tsiambaratelo na manodinkodina ny lojika fampiharana.

iOS

• Jailbreak Detection Bypass

Maro ny fampiharana iOS no tsy mandeha raha mahita finday jailbreak . Miaraka amin'i Frida , azonao atao ny mametaka sy manafoana ny fomba fitadiavana:

Interceptor.attach(Module.findExportByName(null, "jailbreakDetectionFunction"), { onEnter: function (args) { console.log("Bypassed jailbreak check!"); // Force return a 'clean' status } });

Ny mpanafika dia afaka mampandeha ny fampiharana amin'ny fitaovana simba ary mikaroka amin'ny alàlan'ny angon-drakitra na fintonana.

• Data saro-pady ao amin'ny System Logs

2023-03-09 12:34:56.789 MyApp[1234:5678] Payment info: card_number=4111111111111111 2023-03-09 12:34:56.789 MyApp[1234:5678] session_token=abc123XYZ987

Amin'ny fitaovana jailbreak—na amin'ny alalan'ny fanangonana log ivelany—dia mijinja mivantana ny angona saropady ny mpanafika.

Fanamby mahazatra amin'ny Mobile Pentesting

• Fizarana Platform : Ny fitaovana Android dia miovaova be amin'ny dikan-teny OS, ROM mahazatra, ary fanovana mpanamboatra, ka mahatonga ny fitsapana ho sarotra.
• Fepetra fiarovana amin'ny fampiharana : Ny endri-javatra toa ny SSL pinning, ny fakany/jailbreak detection, ary ny obfuscation dia mety hanakana ny pentesting.
• Fidirana voafetra amin'ny kaody loharano : Matetika ny fitiliana boaty mainty dia mitaky injeniera mivadika miaraka amin'ny fitaovana toa ny APKTool na JADX, izay mety handany fotoana.
• Fameperana famakafakana mavitrika : Sandboxing, fiarovana ny fitadidiana, ary ny filàna fitaovana miorim-paka/jailbroken dia manasarotra ny fitsapana workflow tena izy.
• Fiarovana amin'ny tamba-jotra sy fanaraha-maso ny fifamoivoizana : Ny fametahana SSL, ny fanamarinana fanamarinana, na ny VPN dia mety hanakana ny proxy MITM mahazatra. Ny fitaovana toa an'i Frida , Burp Suite , ary mitmproxy dia lasa tena ilaina amin'ny fandalovana.

Fanontaniana matetika (FAQ)

• Inona no atao hoe mobile pentesting?

  Mizaha toetra ny fiarovana ny fampiharana finday amin'ny alàlan'ny fanaovana simulation fanafihana amin'izao tontolo izao izy io—mitady izay vaky alohan'ny ataon'ireo mpanafika.

• Nahoana no zava-dehibe ny fanaovana fitiliana finday?

  Satria ny finday avo lenta dia manana angon-drakitra manokana sy ara-bola be dia be, lasibatra voalohany ho an'ny mpanao heloka bevava an-tserasera izy ireo.

• Inona avy ireo dingana lehibe?

  • Manangana tontolo voafehy, manaova famakafakana static (SAST), manaova famakafakana mavitrika (DAST), fikarohana antontan-taratasy ary avereno andrana aorian'ny fanamboarana.

• Inona no fitaovana ilaiko?

  Burp Suite na ZAP ho an'ny fisakanana fifamoivoizana, MobSF ho an'ny scans, APKTool/JADX (Android), Class-Dump/Hopper (iOS), miampy fitaovana fihantsiana toa an'i Frida na Objection.

• Impiry isika no tokony hanao pentest?

  Aorian'ny fanavaozana lehibe, endri-javatra vaovao, na fanovana fotodrafitrasa lehibe. Ny tsara indrindra dia ampidiro ao amin'ny CI/CD izany mba hanamarinana tsy tapaka.

• Inona no vulnerability mahazatra?

  Fitehirizana angon-drakitra tsy azo antoka, tsy misy HTTPS, tsiambaratelo voasokajy henjana, tsy fahampian'ny fitantanana fivoriana, ary API diso.

• Afaka mandeha ho azy ve ny zava-drehetra?

  Tsy dia izany loatra. Ny fitaovana dia afaka manao automatique ny scan sasany, fa ny fitsapana amin'ny tanana kosa dia mampiseho ny lesoka lojika na fitsipika ara-barotra sarotra.

• Mila manandrana ny Android sy iOS ve isika?

  Eny, samy manana modely fiarovana manokana sy fandrika.

• Ara-dalàna ve ny pentest?

  Eny tokoa, raha manana fahazoan-dàlana mazava avy amin'ny tompon'ny fampiharana ianao. Raha tsy izany dia tsy ara-dalàna izany.

• Aiza no hanombohako?

  Halalino ny OWASP Mobile Security Testing Guide (MASTG) , mianara fanodikodinana fototra, ary manaova fanazaran-tena miaraka amin'ny fampiharana loharano misokatra na lasibatra santionany.

Famaranana

Ny pentesting amin'ny finday dia toy ny fikatsahana lehibe — manomboka amin'ny fanangonana fitaovana ianao (fitaovana sy fitaovana), avy eo mitsikilo ny terrain (SAST), ary amin'ny farany dia maka fomba fiasa (DAST) mba hahitana ny toerana malemy rehetra. Amin'ny fanaovana izany tsy tapaka sy ny fanaovana tatitra ny zavatra hitanao, dia hitazona ny fampiharanao ho mafy orina sy ho voaro ny mpampiasa anao.

Tsarovy: mivoatra isan'andro ny lozisialy, ary toy izany koa ny fandrahonana. Ataovy ho ampahany tsy tapaka amin'ny tsingerin'ny fiainanao fampandrosoana ny pentesting — satria ny fomba tsara indrindra hiantohana fanjakana dia amin'ny alàlan'ny tsy firaharahianao mihitsy.

Momba ny Mpanoratra

Ity lahatsoratra ity dia nomanin'i Anastasiia Tolkachova , Injeniera fitiliana fiarovana ao amin'ny Sekurno , ary nodinihin'i Alex Rozhniatovskyi , CTO ao amin'ny Sekurno . Anastasiia dia manana traikefa an-tanana mihoatra ny dimy taona amin'ny fitiliana fidirana sy fanombanana fiarovana. Manam-pahaizana manokana amin'ny fitiliana fampiharana amin'ny Internet, fotodrafitrasa (na eo an-toerana na rahona), ary sehatra finday (iOS sy Android). Ny fahaizany dia miompana amin'ny fomba fiasa Black Box, Grey Box ary White Box, miaraka amin'ny fahaiza-manao amin'ny fanombanana ny vulnerable sy ny famerenana ny fiarovana ny code source.

Alex dia manana traikefa fito taona amin'ny fampandrosoana sy ny cybersecurity. Mpandray anjara amin'ny AWS Open-source izy natokana ho an'ny fampivoarana ny fomba fanao kaody azo antoka. Ny fahaiza-manaony dia mamehy ny elanelana misy eo amin'ny fampivoarana rindrambaiko sy ny fiarovana, manome fomba fijery manan-danja amin'ny fiarovana ny fampiharana tranonkala maoderina.

Torolàlana momba ny fikarohana finday: References

Fitaovana sy loharanon-karena

1. Mobile-Security-Framework-MobSF
2. Apktool
3. jadx
4. Burp Suite
5. Frida
6. Drozer
7. OLONA
8. Genymotion
9. Corellium Virtual Hardware
10. appledb.dev
11. reFlutter
12. sehatra-fitaovana
13. Magisk
14. Root Checker
15. checkra1n
16. unc0ver
17. Filza

Torolalana sy lahatsoratra

1. OWASP Mobile Top 10
2. OWASP Mobile Application Security
3. OWASP MASTG
4. NIST SP 800-163
5. Misintona sy mametraka Android Studio
6. Fametrahana fitaovana Android hiasa amin'ny Burp Suite
7. Fametrahana fitaovana iOS hiasa miaraka amin'ny Burp Suite Professional
8. Hacking Xamarin apps