Android Guards

Просто замечательная статья про отладку ядра Android прямо на девайсе, которую я не мог обойти стороной. В ней есть все, что вы (возможно) любите: получение UART через USB порт смартфона, сборка кастомного ядра и подключение к нему отладчиком. Статья совсем не для новичков, но даже они смогут найти для себя некоторые элементы знаний, которые им помогут лучше понять как вся эта "ядерная" кухня устроена в Android.

Зачем все это вообще нужно? Чтобы задолбаться конечно поискать баги, которые могут быть проэксплуатированы через "зловредные" USB устройства например.

У меня обновился смартфон. Вроде бы рядовое событие. Но есть нюанс 🍌. Впрочем обо всем по порядку.

Для анализа приложений я использую Pixel 4a на котором из коробки, на момент покупки, был Android 11. Поскольку девайс нужен только для работы, то мне очень важно иметь на нем полностью понятное мне окружение, которое включает в себя также определенную версию ОС. Из этих соображений, у меня естественно выключены любые автообновления, а все которые предлагались "сами по себе" - были героически отклонены.

Вообще у меня уже где-то полгода постоянно появляется всплывающее окно с текстом типа "мы тут уже подготовили все апдейты, тебе нужно только нажать кнопку, перезагрузиться и ты получишь новый, блестящий Android 13". Кнопки "отказаться" в этом окне не было, но я наловчился нажимать на "кружок" (жестовая навигация - отстой) и так удавалось это окно обходить. Ручная перезагрузка тоже не приводила к установке обновлений и все было хорошо. До сегодняшнего дня 😈

Ночью смартфон просто перезагрузился сам и установил Android 13. Без каких либо вопросов. И тут можно было бы сказать, что "я что-то нажала и все сломалось", но увы. Таких людей в нашей команде уже 3-е. И везде один и тот же сценарий. Отдельно стоит сказать, что на смартфоне разблокирован загрузчик, стоит Magisk и вот это все. Даже стало интересно как оно в этом состоянии обновилось и не сделало кирпич =) Впрочем к фокусникам из Google у меня есть и другие вопросы. Все из области информационной безопасности и все риторические. Думаю любой подписчик этого канала легко сможет придумать ворох сценариев на тему "что можно сделать со смартфоном имея настолько исключительные, удаленные(!) права в системе".

Думойте...

Как и обещал ранее, выкладываю приложение, которое мы подготовили к конкурсу для PHD.

Обращаю ваше внимание на то, что отчеты по нему приниматься не будут. Это все для развлечения тех, кто все еще хочет пореверсить эту апу, но по какой-то причине не успел в рамках конкурса. Ну и чтобы сделать этот процесс еще интереснее, я не буду выкладывать файл лицензии, который выдавался участникам конкурса. У них не было бесконечного количества времени в отличие от вас ;)

Подкину еще одну идею: можете постучать своими SAST-ами и DAST-ами об это приложение. Вдруг придумаете как их улучшить? 🌚

Также прошу избегать публичных обсуждений уязвимостей, которые вы найдете в этом приложении. Не стоит портить удовольствие другим исследователям =)

Глаза робота я красил акрилом, но вы можете использовать многоцветную печать и сделать их пластиком. Можно даже "поиграть с цветами" и получить необычные сочетания. В общем творите, что хотите 🙃

Вот и закончился Positive Hack Days. Я пообщался с несколькими интересными людьми, которые приходили за брелками на стенд. Хоть вас было не так много, но в итоге я раздал все брелки, и паре человек даже не хватило. Не думал, что на них будет такой большой спрос 🙃 Для тех, кому очень хочется но "не дошел/не приехал/постеснялся подойти" я выложу STL модель, и вы сможете сделать такой брелок себе самостоятельно.

Скажу несколько слов по приложению, которое было на конкурсе: к сожалению участников было не так много как хотелось бы. Если были какие-то сложности или вам не интересна концепция приложения с реальными уязвимостями, а хочется CTF, то напишите в комментариях. Само приложение я выложу чтобы можно было поискать заложенные баги уже вне конкурса. Райтапа пока не будет.

На следующий год тоже постараемся сделать что-то интересное. А теперь - отдыхать 😐

Сегодня было сдано очень мало отчетов, поэтому хочу немного прояснить смысл конкурса и помочь вам начать копать в правильном направлении.

В приложении бесполезно (почти) искать всякие стандартные уязвимости, к которым большинство привыкло. Основной фокус - реверс. В том числе бинарный. Кроме этого нужно немного быть в курсе различных механизмов работы Android и библиотек для разработки приложений. Поэтому, если вы совсем новичок в исследовании мобильных приложений, то может быть немного сложно. Но это не повод опускать руки. Для новичков там тоже есть несколько уязвимостей, нахождение которых не требует каких-то исключительных скилов. Просто внимательность и понимание модели угроз для мобилок.

Ожидается, что участники глубоко погрузятся в некоторые сценарии работы приложения и найдут в них недочеты, которые, при должном упорстве, можно превратить в critical баги.

Чуть позже будут опубликованы подсказки для тех, кому совсем не приходит в голову никаких мыслей. Также, прошу вас написать какие сложности возникают при анализе этого приложения. Попробую сделать какой-то ликбез по итогу чтобы этих сложностей больше не возникало.

Время еще есть. Reverse must go on ;)

Также в этом году я подготовил небольшие сувениры для фанатов моего канала :) Приходите познакомиться. Кто захочет, заберет брелок с логотипом канала. Количество ограничено. Но если захотите, я потом выложу stl модельку и сможете сделать себе сами. Я на стенде Mobile Hack (там где Snatch)

Всем привет! Стартанул наш конкурс на PHD. Задача как обычно простая - находите баги, получаете баллы, забираете мерч. В этот раз вас ждет супер защищенное хранилище конфиденциальной информации. Кроме беслатных функций в нем есть платные. Еще есть триальная лицензия чтобы можно было оценить прелесть платной версии программы ;) Сможете получить безлимитную? Все подробности здесь.

Всем удачи!

Я частенько говорю о том, что Samsung слишком много себе позволяют когда лезут в разные части Android и переписывают их на свой лад. Но беда в том, что лезут они не только в Android, но и в более глубинные слои. Что из этого выходит? Уязвимости конечно.

Ребята из Quarkslab сделали отличный доклад по эксплуатации уязвимостей в цепочке загрузки Samsung Galaxy A225F. Точка старта - феерическая. Кастомный JPEG парсер, который ребята из Samsung вкрячили в Little Kernel. Конечно же этот парсер содержал уязвимость (или бэкдор? 🌚), которая позволяла выполнять произвольный код. Чем и воспользовались исследователи.

Очень интересный, технический доклад. Рекомендую!

У нас почти сформировался пул тех уязвимостей, которые мы хотели бы предложить вам поискать в формате конкурса на мобильном стенде на Positive Hack Days. Поскольку одним из основных лейтмотивов фестиваля в этом году будет reverse engineering, то мы тоже не остались в стороне от этой идеи. Реверса будет много. Настоящего, все как вы любите. Без флагов. Только реальные уязвимости в различных механизмах мобильных приложений.

Кроме этого, на фестивале впервые будет отдельный трек по девайсам и технологиям. В рамках этого трека можно будет заслушать доклады про основные риски бытовой электроники, ИИ-агенты в киберразведке или про то как создать игровой движок на WASM.

В целом, продолжая тему девайсов, технологий и реверса, могу рассказать еще про несколько конкурсов в зоне Киберхаба:
- взлом робокафе
- перехват управления роборукой
- задачки по социалке и машинному обучению

Ну а для желающих хотя бы в эти дни не работать, будут всякие лайтовые ивенты типа детских квестов и аллея стажировок с ведущими вузами страны: МГУ, ВШЭ, МГТУ им. Баумана, ИТМО и др.

Совершенно случайно для себя создал артефакт, который подсвечивает устаревшую или изменившуюся информацию в книге Android Security Internals. В документе я отметил главы, на которые стоит обратить пристальное внимание при прочтении и перепроверить информацию из них.

Немного легенды к этому артефакту:
- Если выделена вся глава, то там много чего поменялось в разных разделах, но я не помню точно в каких
- Если глава вообще отсутствует, то либо там ничего не менялось (как в Selinux) либо я не помню точно менялось ли что-то (как в NFC).

Естественно это все просто частное мнение, и я буду вам очень благодарен если вы в комментариях напишете каких-то конструктивных дополнений, а то и ссылок на эту тему.

Стартанули продажи билетов на PHDays Fest 2025. Цена смешная — 1500 рублей, за которую вы получаете доступ ко всем зонам конференции, в том числе к нашему маленькому, но гордому стенду, посвященному безопасности мобилок. Как я писал ранее, мы готовим несколько конкурсов. Будет наша традиционная имитация крупного банка, конкурс на обход биометрии смартфона и, если успеем, кое-что еще для серьезных реверсеров:)

Необычный CrackMe от одного из участников нашего сообщества - @n13625124998637487500.

Задача: изменить строку "Hello world!" на свою и пересобрать приложение. Изменить нужно именно путем патча apk файла. Без использования DBI фреймворков. Кто справится, думаю можно через несколько дней писать в комментариях к этому сообщению как действовали. Ну или кидайте ссылку на свой райтап.

Удачи 🌚

Приближается очередной Positive Hack Days, где мы с командой опять готовим много интересного. Но "много" нам показалось мало и хочется сделать что-нибудь еще. Покидайте в комментарии к этому сообщению какую движуху вы хотели бы видеть на мобильном стенде. Может быть вам интересно прийти пособирать электронный конструктор для детей младшего школьного возраста или потапать хомяка =) В общем любые идеи в рамках разумного и в границах действующего законодательства 🌚

Вот и закончился 2024-й год. Много было сделано, но явно не все что хотелось. А значит будет перенесено техдолгом на следующий год =) Частью вещей, которые я встретил в этом году, мне даже захотелось поделиться. Настолько было всего много.

Также в будущем году наш уютный чатик ждут некоторые изменения, которые надеюсь положительно скажутся на внутренней атмосфере. Впрочем время покажет.

С Новым Годом! 🧑‍💻

...Either way, I learned some new things, which is nice :^)
Thanks for tuning in, and see you in the next attempt.

Очень часто мои попытки разбора уязвимостей в Android заканчиваются также как у автора статьи с разбором CVE-2020-0238. Даже ощущения те же. И начинается все всегда одинаково - сначала в бюллетени безопасности находится интересный с виду баг уровня High/EoP, потом совершается акт медитации над странным с виду фиксом который был сделан и в итоге становится совершенно не понятно как при таком количестве условий эксплуатации это вообще может быть High, где тут EoP, и как это вообще попалю в бюллетень. Т.е. практическая ценность тут ровно одна - чуть больше узнать про механизмы ОС. Ну и попытаться получить хоть немного удовольствия (сомнительно...). А статью обязательно прочитайте, разборы CVE из Android с нормальными PoC-ами выходят нечасто.

После долгих раздумий решил все же выложить свой старый, но не потерявший актуальности RFC на тему серверной реализации аутентификации по пин-коду. Эта тема будет интересна тем, кто хочет уйти от локальной реализации (что почти всегда плохо) и сделать серверную.

Вряд-ли описанный мной подход подойдет всем, но если интересуетесь темой, то думаю найдете в нем что-то интересное для себя.