Ahmet Can Kan - Attacking Mobile Applications At Runtime OWASP-TR Mobil Güvenlik Çalıştayı 2015 (14 Ekim 2015)

1. ATTACKING MOBILE APPLICATIONS
AT RUNTIME
OWASP-TR Mobil Güvenlik Çalıştayı ‘15
Ahmet Can Kan

2. Ben kimim?
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

3. INVICTUS
“Intelligence Research and Development”
 Senior Mobile Security Consultant
at Invictus in Istanbul
 VP, R&D Lead at Prodaft
 Bsc. Comp Sci. & Eng. Sabanci
University
Msc. Candidate, Comp Eng at
Bogazici University
Security and Privacy in
Biometrics
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

4. İÇERİK
1
2
3
4
Android Runtime, Xposed Framework
iOS Platformunda Örnek Saldırı
Senaryoları
iOS Cydia Substrate API
Android Platformunda Örnek Saldırı
Senaryoları
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

5. 1
Android Runtime, Xposed Framework
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

6. Zygote
• Zygote işletim sistemindeki bütün uygulamaların başlatılmasından
sorumlu ‘daemon’dır ve bütün uygulamalar bu process’ten fork edilir.
Android Runtime
OWASP-TR Mobil Güvenlik Çalıştayı ‘15
• /system/bin/app_process aracılığıyla ayağa kaldırılır. (@ init.rc)

7. Yükleme:
• Installer uygulaması aracılığıyla sisteme yüklenir (root
yetkileri gerektirir).
• Extended bir app_process çalıştırılabilir dosyası hali
hazırda var olan dosyanın yerini alır.
• ClassPath’e XposedBridge.jar kütüphanesini ekler ve
bu kütüphanedeki metodları gerektiğinde çağırır.
• Böylece XPosedBridge.jar kütüphanesinden gerekli
metodları Zygote process’inin bir parçasıymış gibi
çalıştırabilir.
• https://github.com/rovo89
Xposed Framework
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

8. Method Hooking/Replacing:
• Framework’ün asıl gücü hedef uygulamadaki metodları hook’layabilmesinden gelir.
• APK’yı modifiye etmek yeterli olmaz mı?
• Decompile/Compile/Sign Döngüsü
• Redistribution
• Yazacağınız bir Xposed modülü ise hedef metodun öncesinde ve sonrasında sizin kendi
kodunuzu çağırmanızı veya hedef metodu direkt olarak override etmenizi sağlar.
Xposed Framework
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

9. Xposed Framework
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

10. 2
Android Platformunda Örnek Saldırı
Senaryoları
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

11. JustTrustMe
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

12. SSL Pinning?
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

13. SSL Pinning?
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

14. RootCloak
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

15. Root?
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

16. CryptoLogger
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

17. 3
iOS Runtime, Cydia Substrate API
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

18. • Substrate C API, hedef platformlarda kod instrumentasyonu yapmanıza olanak sağlar.
• Hedef platformdaki objenin veya metodun argümanlarını, return değerlerini ve hatta
implementasyonunu değiştirmenize olanak sağlar.
• C/C++/Assembly, Objective-C ve Java (Android/Dalvik) platformlarını destekler.
• C seviyesinde çalışır.
• Android 4.3’ün üstünü desteklemez. (ART?)
Cydia Substrate API
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

19. Cydia Substrate API Hello World – Adım 1 – Binary Decryption
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

20. Cydia Substrate API Hello World – Adım 2 – Tweak Oluşturma
OWASP-TR Mobil Güvenlik Çalıştayı ‘15
THEOS SDK
• Linux, MacOS ve Windows (Cygwin) desteği bulunur.
o Windows: https://coolstar.org/theos.pdf
o Linux/OSX: http://iphonedevwiki.net/index.php/Theos/Setup

21. Cydia Substrate API Hello World – Adım 2 – Tweak Oluşturma
OWASP-TR Mobil Güvenlik Çalıştayı ‘15
Logos
• Preprocessor tabanlı bir kütüphanedir.
• Tweak yazma işlemini kolaylaştırır.

22. Cydia Substrate API Hello World – Adım 3 – Tweak’i Yükleme
OWASP-TR Mobil Güvenlik Çalıştayı ‘15
• Oluşturulan dylib ve plist
dosyaları
/Library/MobileSubstrate/D
ynamicLibraries/ dizinine
kopyalanır.
• Hedef uygulama (kelime
oyunu) yeniden başlatılır.

23. 4
iOS Platformunda Örnek Saldırı
Senaryoları
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

24. Snoop-it
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

25. IntroSpy

26. iOS SSL Kill Switch
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

27. xCon
OWASP-TR Mobil Güvenlik Çalıştayı ‘15

28. Flex
OWASP-TR Mobil Güvenlik Çalıştayı ‘15
• NBA Game Time App
• Sadece method overriding

29. Teşekkürler.
When next year’s crop of high-school graduates arrive at Oxford University in the fall of 2009, they’ll be joined by a new face;
Andrew Hamilton, the 55-year-old provost of Yale, who’llWhen next year’s crop of high-school graduates arrive at