4 метода обхода верификации SSL-сертификатов в Android
Прошли те времена, когда мобильные приложения мужественно игнорировали все ошибки, связанные с SSL, и позволяли перехватывать и модифицировать трафик.
Автор: Cody Wass
Прошли те времена, когда мобильные приложения мужественно игнорировали все ошибки, связанные с SSL, и позволяли перехватывать и модифицировать трафик. Современные приложения, как минимум, проверяют цепочки сертификатов на валидность и принадлежность к достоверному центру сертификации. Мы, пентестеры, ставим перед собой задачу «убедить» приложение, что сертификат надежный с целью выполнения атаки типа «человек посередине» и последующего изменения трафика. В этой статье будут рассмотрены следующие техники обхода проверок SSL-сертификатов в Android:
- Добавление сертификатов в хранилище достоверных сертификатов.
- Перезапись упакованных сертификатов.
- Использование скрипта Frida для обхода проверок SSL-сертификатов.
- Изменение кода проверки сертификата.
Некоторые из вышеуказанных техник — простые, другие – более сложные в реализации. Мы рассмотрим каждый из этих методов без особого углубления в специфические детали.
Зачем нужна MITM-атака на SSL
Чтобы просматривать и изменять вызовы веб-службы, используемой мобильным приложением, нам понадобится промежуточный прокси сервер для перехвата, созданный при помощи утилит навроде BurpSuite или ZAP. При перехвате SSL-трафика SSL-соединение прерывается на стороне прокси-сервера. Сертификат, отсылаемый прокси-сервером, анализируется мобильным приложением, как если бы прокси был оконечной точкой веб-службы. По умолчанию самоподписанный сертификат, генерируемые утилитами наподобие Burp, не будет принадлежать проверенной достоверной цепочке. Если сертификат нельзя проверить на достоверность, большинство мобильных будут обрывать соединение вместо того, чтобы подключаться и работать в потенциально незащищенном канале. Техники, представленные ниже, предназначены для одной цели – убедить мобильное приложение, что сертификат, отправляемый прокси-сервером, является достоверным.
Техника 1 – Добавление сертификата в хранилище пользовательских сертификатов
Самый простой способ избежать SSL-ошибок – обзавестись валидным и надежным сертификатом. Эта задача решается относительно просто, если вы сможете установить достоверный сертификат на устройство. Если операционная система доверяет вашему центру сертификации, то будет доверять и сертификату, подписанному центром сертификации.
В Android есть два встроенных хранилища сертификатов, которые отслеживают, каким центрам сертификации доверяет операционная система: системное хранилище (хранит предустановленные сертификаты) и пользовательское хранилище (хранит сертификаты, добавленные пользователями).
Выдержка с сайта developer.android.com:
По умолчанию безопасные соединения (использующие протоколы TLS, HTTPS и им подобные) во всех приложениях доверяют предустановленным системным сертификатам. В Android 6.0 (API level 23) и более ранних версиях по умолчанию также считаются достоверными сертификаты, добавленные пользователями. Приложение может настраивать свои собственные соединения на уровне приложения (base-config) и на уровне домена (domain-config).
Сей факт означает, что, если мы имеем дело с приложением, которое работает в Android 6.0 и более ранних версиях, то можно просто добавить сертификат в пользовательское хранилище. Когда приложение пытается проверить достоверность цепочки для нашего сертификата, то обнаружит, что наш центр сертификации связан с достоверным хранилищем и, следовательно, будет доверять нашему сертификату. В более новых версиях приложение не будет доверять хранилищу пользовательских сертификатов. Чтобы решить эту проблему, нужно прописать такой уровень API и версию Android, чтобы приложение стало доверять пользовательским центрам сертификации. Мы будем редактировать атрибут «platformBuildVersionCode» элемента «manifest» в файле AndroidManifest.xml.
В коде выше в строке «platformBuildVersionCode=25» нужно поменять значение 25 на 23, а в строке platformBuildVersionName=»7.1.1″ значение 7.1.1 на 6.0.
После переупаковки приложения с обновленным файлом AndroidManifest.xml, доверие пользовательским центрам сертификации будет восстановлено.
Если требуется запуск на конкретной версии платформы, мы можем определить тэг trust-anchors в файле «/res/xml/network_security_config.xml». Например, следующий файл (https://developer.android.com/training/articles/security-config.html) определяет новый достоверный сертификат, который должен храниться по адресу /res/raw/my_ca.
Если в приложении будет проходить проверку только указанный сертификат, условия для успешного выполнения этой техники выполняются.
Техника 2 – Перезапись упакованного сертификата
Если после установки сертификата в пользовательское хранилище, изменении в настройках версии Android и успешном прохождении проверок при просмотре других ресурсов, защищенных протоколом SSL, все равно возникают ошибки, значит, разработчики внедрили дополнительные условия, которым должны удовлетворять достоверные центры сертификации. Если не забыли, в предыдущей технике внутри тэга trust-anchors добавлялся новый путь к сертификату. Подобный трюк может использоваться разработчиками для защиты приложений от перехвата SSL.
Если в приложении используется индивидуальная цепочка сертификатов, может сработать метод, связанный с перезаписью сертификата. Поскольку в некоторых случаях разработчики могут предусмотреть дополнительные методы для проверки достоверной цепочки, эта техника не гарантирует стопроцентного результата.
Рисунок 1: Перечень сертификатов, используемых приложением
Если открыть пакет приложения при помощи, например, APK Studio, то можно сразу увидеть перечень привязанных сертификатов. На картинке выше сертификаты находятся в папке «assets». Замена явно бросающегося в глаза сертификата UniversalRootCA позволит нам подсунуть приложению наш сертификат.
Техника 3 – Подключение к функциям через фреймворк Frida
Если установки собственного сертификата недостаточно для успешного перехвата SSL-трафика, скорее всего, в приложении используются техники навроде SSL pinning или дополнительная SSL-валидация. В этом случае нужно блокировать проверки через непосредственное подключение к соответствующим функциям. Ранее эта техника была доступна для реализации только на устройствах с правами суперпользователя. Однако на данный момент при помощи библиотеки Frida Gadget можно работать с приложением и получить доступ к полному функционалу фреймворка Frida без прав суперпользователя.
Если вы уже выполняли пентесты мобильных приложений, то, вероятно, знакомы с этим фреймворком. Описание всей функциональности Frida выходит за рамки этой статьи, но если говорить в общем, то этот фреймворк позволяет изменять логику работы приложения во время выполнения. Обычно Frida работает как отдельное приложение и требует прав суперпользователя на устройстве. Если у нас нет прав суперпользователя, мы можем инжектировать в пакет приложения динамическую библиотеку Frida Gadget, содержащую большую часть функционала фреймворка Frida. Эта библиотека загружается во время выполнения приложения и позволяет вносить изменения в код.
Чтобы загрузить Frida Gadget, нужно распаковать APK, вставить динамическую библиотеку, отредактировать smali-код так, чтобы динамическая библиотека вызывалась самой первой, а затем переупаковать и установить пакет. Весь этот процесс хорошо задокументирован Джоном Козиракисом (John Kozyrakis). Вначале лучше пройти все этапы вручную, чтобы лучше понять, как работает эта технология. Чтобы сэкономить время, существует утилита — Objection, которая автоматизирует весь вышеупомянутый процесс. Требуется лишь указание целевого пакета, над которым нужно выполнить манипуляции.
После завершения в нашей рабочей директории должен появиться файл «test_app.objection.apk». По умолчанию утилита objection добавляет постфикс «.objection» к имени пакета. Далее мы можем установить этот пакет так же, как и любой другой APK, при помощи команды adb install test_app.objection.apk. После того как измененный пакет установлен на целевом устройстве, во время запуска приложение должно встать на паузу на начальном экране. В этот момент мы можем подключиться к серверу Frida, который отслеживает наше устройство:
C:\>frida-ps -U
PID Name
—- ——
6383 Gadget
C:\>frida -U gadget
____
/ _ | Frida 10.3.14 — A world-class dynamic instrumentation framework
| (_| |
> _ | Commands:
/_/ |_| help -> Displays the help system
. . . . object? -> Display information about ‘object’
. . . . exit/quit -> Exit
. . . .
. . . . More info at http://www.frida.re/docs/home/
[Motorola Moto G (5) Plus::gadget]-> Java.available
true
Alternatively, Objection supports interaction with the listening Frida server by using the ‘explore’ command:
C:\>objection explore
___| |_ |_|___ ___| |_|_|___ ___
| . | . | | | -_| _| _| | . | |
|___|___|_| |___|___|_| |_|___|_|_|
|___|(object)inject(ion) v1.2.2
Runtime Mobile Exploration
by: @leonjza from @sensepost
[tab] for command suggestions
com.test.app on (motorola: 7.0) [usb] # android hooking search classes TrustManager
android.security.net.config.RootTrustManager
android.app.trust.ITrustManager$Stub$Proxy
android.app.trust.ITrustManager
android.security.net.config.NetworkSecurityTrustManager
android.security.net.config.RootTrustManagerFactorySpi
android.app.trust.TrustManager
android.app.trust.ITrustManager$Stub
com.android.org.conscrypt.TrustManagerImpl
com.android.org.conscrypt.TrustManagerImpl$ExtendedKeyUsagePKIXCertPathChecker
com.android.org.conscrypt.TrustManagerImpl$TrustAnchorComparator
com.android.org.conscrypt.TrustManagerFactoryImpl
javax.net.ssl.TrustManagerFactory$1
javax.net.ssl.TrustManager
javax.net.ssl.TrustManagerFactory
javax.net.ssl.X509TrustManager
javax.net.ssl.TrustManagerFactorySpi
javax.net.ssl.X509ExtendedTrustManager
[Ljavax.net.ssl.TrustManager;
Теперь вы можете воспользоваться функцией для обхода технологии SSL pinning:
com.test.app on (motorola: 7.0) [usb] # android sslpinning disable
Job: 2f633f86-f252-4a57-958e-6b46ac8d69d1 — Starting
[6b46ac8d69d1] [android-ssl-pinning-bypass] Custom, Empty TrustManager ready
Job: 2f633f86-f252-4a57-958e-6b46ac8d69d1 – Started
Техника 4 – Реверс-инжиниринг кода верификации сертификата
Возможен такой случай, когда разработчик использует собственные SSL-библиотеки вместо системных для верификации сертификата. В этой ситуации нам нужно распаковать пакет, сконвертировать smali-код в Java-код и найти функции, отвечающие за проверку сертификата.
Если использовать «dex2jar», синтаксис будет следующим:
C:\>d2j-dex2jar.bat «C:\test_app.apk»
dex2jar C:\test_app.apk -> .\test_app-dex2jar.jar
Полученный файл .jar должен быть пригоден для открытия в вашей любимой утилите для исследования Java-приложений (например, JD-GUI).
После того как вы нашли функции, отвечающие за проверку сертификата, можно либо полностью пропатчить код, либо подцепиться к нужной функции при помощи Frida. Чтобы сэкономить время и не пересобирать полностью приложение, эффективнее подцепиться к функциям, отвечающим за проверку сертификата. Шаги, описанные в предыдущей технике, позволят подключиться к приложению, и далее вы можете либо подцепиться к функции при помощи утилит фреймворка Frida, либо при помощи приложения Objection.
Заключение
Техники, описанные в этой статье, позволяют перехватывать SSL-трафик и обходить некоторые наиболее распространенные защиты, используемые разработчиками. Кроме того, я кратко рассказал об утилите Objection и фреймворке Frida. Обход технологии SSL pinning и других защит лишь небольшая часть возможностей, которые позволяют реализовать эти инструменты.
Надеюсь, мне удалось на доступном языке рассказать о техниках, которые могут быть пригодны для оценки безопасности мобильных Android-приложений и демонстрируют важность наличия нескольких способов проведения подобного рода исследований.
Источник
VkurSe — шпион для Android телефонов и планшетов
VkurSe — шпион для Android телефонов и планшетов
Сегодня смартфон и/или планшет есть у 8 из 10 человек. Они сочетают в себе практически весь компьютерный функционал и возможности телефона, которые позволяют всегда быть на связи, а также в курсе происходящих событий в глобальной сети. Мы покупаем гаджеты и девайсы себе и своим близким, чтобы всегда быть на связи, несмотря на расстояния. С другой стороны родители хотят быть в курсе занятий своих детей в их свободное время, ну а супруги всегда взывают к честности в отношениях, потому просят друг друга всегда быть на связи. Также это некий доверительный элемент, говорящий о том, что людям друг от друга скрывать нечего. Но так или это на самом деле?
Программы для шпионажа
Сегодня в мире ежедневно выпускаются десятки новых приложений для телефонов и планшетов. Они позволяют облегчить работу, учебу, скоротать время в дороге и просто дополняют устройства полезными функциями. Но учитывая природу человеческой психологии и желание, пусть и скрытое, каждого из нас быть в курсе дел близких людей, появление «шпиона» на телефон Андроид было вопросом времени. Сегодня каждый пользователь может скачать подобный софт на планшет, чтобы проследить за перепиской супруга или ребенка и вообще знать, чем он/она заняты в то время, как денно и нощно не выпускают из рук свой смартфон или планшет.
Какая от них польза?
Может статься, что такая программа – это лишь возможность следить за своими близкими и благоверными, в попытке уличить их в неблагонадежном поведении, но это не совсем так. Подумайте, каких только не бывает ситуаций с участием новомодных девайсов:
- Забыли телефон или планшет в такси/транспорте.
- У вас украли устройство и его нужно срочно найти.
- Вы переживаете за своего ребенка, не знаете с кем он и о чем общается.
- Ваш родной человек попал в беду, не выходит на связь, его надо найти.
- Мать старушка страдает потерей памяти, но упорно ходит самостоятельно в магазин.
- Мобильные сотрудники ездят на задания, но на это у них уходит непозволительно много времени.
Ситуаций – множество! И благо, если вы установили на устройство близкого человека этот софт. Он поможет быстро отыскать устройство, сообщит вам координаты по спутнику GPRS и вы сможете вернуть украденное устройство, также быстро отыскать потерявшегося человека.
5 типов программ-шпионов, которые не принесут пользы
Неудивительно, что индустрия приложений предлагает самые разные вариации:
- Отслеживать только определенные мессенджеры – WhatsApp, Viber, Facebook, VK и т.д.
- Скрытая камера – программа удаленно включает камеру на компьютере или планшете пользователя, что позволяет наблюдать в режиме реального времени за его действиями.
- Удаленный просмотр веб-браузера и его истории.
- Слежение за рассылкой СМС.
- Прослушка и запись звонков.
Целых 5 программ! Если вы хотите проследить за человеком и знать все обо всех его действиях, разговорах и переписках, то придется…устанавливать целых 5 разных программ! И заметьте – как у себя на устройстве, так и на устройстве другого человека, что вряд ли выполнимо, учитывая, что одновременно работающие приложения будут создавать нагрузку и бешено расходовать трафик интернета. В таком случае нужно одно универсальное приложение, которые бы совместило широкие функции и оставалось в тени прочих процессов в устройстве, желательно затерявшись в системной папке. И решение есть!
Универсальное решение
VkurSe — мобильный шпион для Андроид-устройств, совершенно новый взгляд на вопрос слежки за устройствами. Он совмещает в себе все вышеописанные 5 типов, при этом имея интуитивно понятный интерфейс. Среди прочих его достоинств можно выделить следующие:
- одновременно следит за всеми мессенджерами и чатами, которые открыты на прослушиваемом устройстве;
- может делать скриншоты (снимок экрана);
- позволяет удаленно делать запись окружения через микрофон;
- имеет функцию слежения;
- записывает входящие и исходящие звонки;
- перехватывает нажатие клавиатуры;
- показывает приходящие уведомления;
- и многое другое (см. Возможности)
Немаловажное преимущество нашей программы заключается в том, что это в первую очередь незаметное (скрытое) приложение, которое не просто позволяет проследить за действиями человека в сети, но и знать где он находился в момент определенного диалога. Если пользователь большую часть времени проводит за серфингом в сети, то шпион за браузером для Андроид расскажет и покажет все о тех ресурсах, на которых тратит свое время человек. Родители будут в курсе действий своих детей и того, какой контент они просматривают. Для руководителя – это незаменимый инструмент контроля, благодаря которому можно существенно снизить риск траты рабочего времени на стороннюю деятельность, никак не связанную с работой. Также можно получить скриншоты по тем сайтам, что посещает ваш работник/ребенок и откреститься у «нарушителя» уже не получится. Также есть возможность вести запись разговоров, что будет самым ярким доказательством.
Где скачать?
Где скачать?В сети много сайтов с подобными предложениями, которые в своей сути выступают лишь файлообменниками, предлагающими скачать программу для слежения, но не оказывающие ни технической поддержки пользователей, ни обновляющие свое ПО.
Нашего шпиона для Андроид можно скачать бесплатно, причем интересующей вас версии – как на смартфон, так и на любое другое Андроид устройство. А техническая поддержка всегда подскажет, как максимально использовать возможности приложения и оставаться при этом вне любых подозрений. На сайте есть руководство, которое показывает как по шагам установить и настроить прогу.
В заключении хочется предупредить, что скрытое слежение все-таки является нарушением закона о тайне личных разговоров и переписки. поэтому, после установки необходимо сообщить хозяину смартфона, что его гаджет находится под вашим контролем. Ну а если Вы все-таки решили делать это тайно, то никогда и не при каких условиях не разглашайте личные данные человека без его согласия.
Возникли вопросы? Пишите нашим онлайн-консультантам!
Источник
