​🔥 تست نفوذ پوزهای اندرویدی؛ وقتی پروتکل بانکی زیر ذره‌بین می‌رود!

​سلام رفقا! امروز می‌خوام خلاصه یک گزارش تست نفوذ (Penetration Testing) فوق‌العاده عمیق و کاربردی رو براتون بگم که روی سیستم‌های پرداخت و کارتخوان‌های جدید اندرویدی انجام شده.

​خیلی از تسترها وقتی امنیت یک دستگاه پوز (POS) رو بررسی می‌کنن، فقط سراغ باگ‌های وب، APIها یا کدهای جاوای خود اپلیکیشن میرن. اما این تستر رفته سراغ هسته اصلی و تاریک ماجرا: پروتکل ارتباطی ISO 8583؛ یعنی همون زبون استاندارد و فریم‌های هگزادسیمالی که دستگاه پوز باهاش مستقیماً از طریق سوکت شبکه با سرور بانک یا پردازشگر پرداخت حرف میزنه.

​🛠 تستر چطور راهش رو به سیستم باز کرد؟

این پروژه یک ارزیابی امنیتی قانونی بوده. شرکت سازنده، فایل APK اپلیکیشن پوز رو در اختیار تستر قرار میده. این برنامه در مرحله پیش-تولید بود و به جای بانک واقعی، به یک شبیه‌ساز (Mock Server) وصل می‌شد که روی اینترنت عمومی فعال بود و دقیقاً مثل سرور بانک رفتار می‌کرد.
​تستر با مهندسی معکوس کدهای اپلیکیشن، متوجه یک فلگ پنهان به نام debugMode=false میشه. اون این فلگ رو به true تغییر میده و برنامه رو دوباره باندل می‌کنه. با این کار، یک اتفاق جذاب میفته: دستگاه پوز تمام پیام‌های تراکنش (خرید، ابطال و...) رو که به زبان هگزادسیمال تولید می‌کرد، توی لاگ‌های سیستم چاپ می‌کنه!

​حالا تستر کدهای هگزادسیمال تراکنش‌ها رو کپی می‌کنه و با زبان پایتون یک اسکریپت می‌نویسه. این اسکریپت کارش این بود که خودش رو جای دستگاه پوز جا بزنه، مستقیم به آی‌پي و پورت اون شبیه‌ساز وصل بشه و پیام‌های دستکاری‌شده بفرسته تا ببینه سرور چقدر امنیت داره...

​👇 توی پست بعدی، باگ‌های عجیبی که توی لایه سوکت پیدا شد رو بررسی می‌کنیم!

​🆔 @androidSec_fa

​#امنیت #تست_نفوذ #امنیت_اندروید #تست_پوز #پروتکل_ISO8583 #هک_و_امنیت