Mobile AppSec World

Semgrep Rules

Последнее время мы с командой всё чаще задумывались о том, что mobsfscan в части своего Semgrep-компонента, мягко говоря, местами глючный и довольно ограниченый.

А если попробовать найти достаточно полный набор Semgrep-правил для мобильных приложений, быстро выясняется, что хорошие правила разбросаны по всему необъятному интернету🔞

Поэтому мы решили собрать всё это в одном месте и создали репозиторий:

https://github.com/Sib-Coder/semgrep-mobile-rules

В нём постарались собрать максимально полный набор проверок для мобильных приложений и при этом избавиться от дубликатов.

Будем очень рады вашей поддержке, новым правилам и идеям для развития репозитория.

Давайте делать мобилки безопаснее вместе 😎

💀 Последний шанс стать спикером

До конца дня принимаем заявки. После этого форма закроется!

Так что если вы откладывали до последнего, торопитесь.

На самом деле очень интересная активность и здорово, что появляются подобные мероприятия.

В свою бытность я помню, какой кайф был от посещения небольших митапов DefCon Moscow, OWASP Russia, митапов в Яндексе, в mail.ru, где так же было не много участников, неформальная обстановка и очень интересные доклады. Насколько ты заряжался какими-то новыми идеями.

До сих пор я помню шикарный доклад от Ивана Новикова про различные девайсы IoT и как они устроены, какие забавные баги там были и как он красочно их описывал и как чайник широковещательным сообщением кидал твой WiFi и пароль в сеть. И презентация была просто мега крутой, она состояла просто из картинок с мемами, которые соотносились с рассказом. Живое подтверждение того, что презентация это всего лишь визуальное подкрепление твоего рассказа.


И сейчас этого на самом деле не хватает, все онлайн да онлайн, а живого человеческого общения на конфах/митапах становится меньше(

Так что я очень постараюсь придти на тусу))

🔥ИБТУСА🔥
03.07, 18:00 - время отдохнуть от сессии и конференций🍺

Джун или студент по ИБ? Приходи и найди:
✅того, кто расскажет о подводных камнях на твоем пути
✅друзей для хакатона и CTF
✅идею для пет-проекта, которую обсудите за баром

Уже эксперт? Приходи быть для них живой легендой или просто похантить таланты до конкурентов

Заявка: @ibtusa_bot ⬅️

➡️Ген. спонсор: Серебриум — аудит безопасности на основе собственной интеллектуальной системы
➡️Спонсор CTF: НетХаб — флагман сетевой безопасности
➡️Ген. медиа: Sachok & Пакет Безопасности & Похек

🎁 Бонус: забирай папку с каналами по ибэ и получай актуальную инфу раньше преподов!

Сегодня вы познакомились за баром. Завтра — вы сеть, которая двигает рынок ИБ

Чатик 😎 Ролик

Где-то в сторонке грустит https://github.com/P1sec/hermes-dec

Уже точно года полтора гоняю

И еще один инструмент доя анализа Hermes

Декомпилятор для Hermes bytecode

Дождались! Теперь нельзя спрятаться за тем фактом, что никто не умеет декомпилировать и реверсить Hermes bytecode. Ребята написали декомпилятор и выложили в открытый доступ. Ожидаем больше находок там где раньше никто и не думал копать.

крутити боробэн

Обычно стараюсь не писать ничего личного, но этот шедевр мне безумно нравится :D

Тем более выходные)

Идёт шумная деревенская свадьба. Под утро пьяный вдрызг тамада, громко спрашивает:
— Кто ещё не писал статьи про AI?
— Я — раздаётся слабый голос из — под стола.
— Кто это я
— Это я, автор канала Android Guards!
— Да ты еще успешь!
(олды здесь?)

Действительно, не хотел особо ничего писать про AI, потому что разжигать костры в аду это неблагодарное дело. Но как-то выдалось немного свободного времени и хороший чай и я решил зафиксировать свои мысли на эту тему. Может кому-то это принесет пользу и позволит выбрать правильный путь. Статья полностью философская, никаких "автопентестеров" там не будет. Я предупредил =)

очень согласен с автором статьи)

ИИ - инструмент, который нужно уметь готовить, чтобы он действительно экономил время и силы. И как любым другим инструментом, с ним нужно учиться работать.

И к сожалению, волшебной коробочки еще нет (а может и к счастью)

noxen: runtime-перехват Android Intent'ов

Прикольная тулза для тех, кто занимается анализом Android-приложений и при этом любит Intercept mode в BurpSuite.

Noxen - это инструмент на Python, который использует Frida для хука Java-методов в приложении. Перехватывает Intent через хук функций типо GetIntent(). Это отображается в терминале с action, component, data URI, флагами, extras и, если повезёт, стектрейсом.

Но можно не только смотреть, а еще и модифицировать Intent перед отправкой или вообще дропнуть его. Прямой аналог Burp Interceptor, но для мобилки.

Еще прикольная фича noxen-analyze: скармливаешь APK, он через androguard генерирует конфиг хуков под конкретное приложение. В целом, можно и отдельно его заиспользовать, как старт.

Вообще, давно я встречал расширение для Burp, которое нативно в его интерфейсе показывал Intent перехваченные, назывался он Brida (Burp+Frida). Я попробовал, но мне как-то не очень зашло. А тут отдельный специализированный тул, посмотрим, может будет поудобнее)

#Android #Frida #Tools #ReverseEngineering #Research

⚡️ Запускаем call for papers

Заявку можно подать на сайте до 29 июня (включительно). Там же ищите подробности и требования к докладам.

Как проходит отбор и как лучше оформить заявку, читайте в статье на «Хабре».