ПРИНТЕРЫ СЕГОДНЯ - Xakep Online

ХАКЕР 04 /171/ 2013 Мобильные окна: проверка на прочность73тификатов, прокси, модификация трафика, сканированиепортов, уязвимости серверной стороны — в общем, никакоймобильной специфики. Сейчас нас это не интересует. Мыостановимся на приложении.При анализе безопасности мобильного приложенияможно выделить три основных этапа. Подготовка окружениязаключается в получении приложения и его распаковке(как в случае с WP-приложением) или дешифровании (какв случае с iOS-приложениями). Также необходима настройкарабочего окружения — это может быть эмулятор или устройство.Затем можно перейти к статическому анализу кода, которыйзаключается в анализе параметров компиляции (такихкак DEP, ASLR, stack cookie), просмотре файлов метаданных(в них, как правило, содержится описание возможностейприложений и их настройки типа регистрируемых URI) и, наконец,анализе самого кода приложения (анализ используемыхAPI, просмотр используемых констант и строк и так далее).И динамический анализ — мы смотрим, как приложениевзаимодействует с сервером по сети, как взаимодействуетс файловой системой, и производим runtime code analysis.Подготовка окружения:• получение приложения (распаковка/расшифровка);• настройка устройства/эмулятора.Статический анализ:• анализ свойств сборки;• анализ метаданных;• анализ кода.Динамический анализ:• как приложение взаимодействует с ФС и сетью;• анализ кода в процессе выполнения.Жизненный цикл приложениядля WPWWWOWASP Top 10 MobileRisks: bit.ly/jb1F2TСтраничкапроекта Tangerine:github.com/andreycha/tangerineВсе, кто так или иначе занимается безопасностью мобильныхприложений, знают об OWASP Top 10 Mobile Risks.Данный список применим к любой мобильной платформе и,можно сказать, содержит в себе все классические уязвимости,то есть то, что не касается специфики самой платформы.Например, все приложения могут хранить критичные данныев открытом виде или неправильно использовать криптографию.Данный список можно применить и к приложениямдля Windows Phone — исключением он не является. Большинствоиз проблем, перечисленных в этом Top-10, можно достаточнопросто идентифицировать, используя статическийанализ и анализ потоков данных. Поэтому здесь не хотелосьбы останавливаться, так как искать опасные API-вызовы и отсутствиезащитных механизмов умеют все.Как исследователь безопасности, я люблю больше другиебаги — логические. Я люблю исследовать недра программыи полностью разбираться в принципах и механизмах ее работы,восстанавливать алгоритмы и так далее. Как правило,искать логические баги намного сложнее, но эксплуатируютсяони намного проще — с ними нет никаких игр с низкоуровневойработой с памятью (как при buffer overflow) и нетникаких защитных механизмов (как при фильтрации символовот XSS или SQLi). А искать сложнее, потому что во времяаудита за ограниченное время надо понять, как работаетпрограмма — какой логикой руководствуется при различныхситуациях. И естественно, для анализа приложения и для поискауязвимостей нужен софт… Давай посмотрим, что у насна сегодняшний день есть для анализа Windows Phone приложенийи что нам поможет искать баги из OWASP Top 10 MobileRisks, а что — логические баги.ИНСТРУМЕНТЫ ХАКЕРАДля работы нам, понадобится WP SDK с эмулятором. WPустройствос полной разблокировкой, которая дает нам доступк файловой системе устройства и возможность ставитьсвой софт без официального магазина. Здесь стоит отметить,что в своей работе мы используем HTC Hero с кастомной прошивкой.Чтобы удобно было лазить по ФС и ставить софт, потребуетсяWindows Phone Device Manager, который можно скачать с XDA.• Устройство• Полная разблокировка• Эмулятор• Windows Phone Device Manager• Сетевые прокси: Burp Suite, Charles...Все приложения могут хранить критичныеданные в открытом виде или неправильноиспользовать криптографиюКОМПИЛЯЦИЯ В ОБЛАКЕ И MDILВ Windows Phone 8 Microsoft ввела компиляциюв облаке. Теперь, когда ты отправляешь своеприложение в Store, оно содержит CIL-сборки.На своей стороне (в облаке) Microsoft компилируетих в новый формат — MDIL (MachineDependent Intermediate Language) сборки. Такчто, когда ты скачиваешь приложение на устройство,оно содержит MDIL-сборки. В процессеустановки эти сборки линкуются и выполняетсянативный код. Все это сделано в первую очередьдля повышения производительности работыприложений.MDIL является запатентованным и документированнымпредставлением. На сегодняшнийдень существует только один инструмент длячтения MDIL — MDIL Dump.Компиляция в облаке для WP8