Как тестировать мобильные приложения, если вебер

Будучи вебером, ВСЕГДА обходил тестирование мобилок стороной, думая "слишком сложно, где-то между реверсом и стегой". Пиком навыков было - запустить apkleaks, проверить доступ к firebase и протыкать найденные URL'ы.

Впрочем, на днях - веб закончился и осталось несколько мобильных приложений. Выбора не было, пришлось стать мобильщиком.

Спустя часы страданий в Android Studio и JADX, нашёл идеальный гайд от IppSec, с начальным сетапом для тестирования мобильных приложений, работающий с первого раза

За 22 минуты узнаешь
- как эмулировать Android (с root!) через Genymotion (под капотом VirtualBox)
- как проксировать траффик Android через Burp
- как поставить Frida, о которой слагают легенды мобильщики
- как обходить SSL Pinning на примере Instagram


Окупилась ли смена роли? Да, в тайне от веба, приложение общалось с вкусными и беззащитными API endpoint'ами :)

#mobile #android