Пентест мобильных приложений

Используемые методы тестирования

Статический анализ (SAST)

Исследование исходного кода, скомпилированного APK/IPA 
или decompiled-версии на наличие уязвимостей:
— жёстко зашитые ключи и токены
— небезопасное хранение данных
— отсутствие обфускации и защита от отладки
— ошибки в логике авторизации

Скрыть

Динамический анализ (DAST)

Исследование поведения приложения в процессе выполнения:
— перехват и анализ сетевого трафика
— подмена API-ответов
— анализ утечек при использовании, фоновых запросов, логирования

Скрыть

Анализ взаимодействия с сервером (API Security Testing)

Проверки:
— авторизации
— контроля доступа
— валидации входных данных
— возможности атак типа IDOR, CSRF, SSRF и пр.

Скрыть

Reverse Engineering и модификация приложения

— Попытки обойти ограничения (например, платные функции)
— Анализ уязвимостей при модификации или запуске на рутованных устройствах

Скрыть

Этапы пентеста:

• 1Подготовка

  — Получение APK/IPA-файла или ссылки на стор — Определение целей: какие данные/функции критичны — Согласование подхода (с исходниками или без), среды, тестовых аккаунтов
• 2Статический анализ

  — Декомпиляция и исследование кода — Поиск уязвимостей в конфигурации, логике, библиотечных зависимостях — Проверка хранения данных и защиты кода
• 3Динамический анализ

  — Установка на тестовое устройство или эмулятор — Инъекции, MITM, подмена ответов — Поведение при нестандартных сценариях (переподключение, ошибка сети, обход авторизации)
• 4Анализ API

  — Проверка endpoint’ов на авторизацию, фильтрацию, rate-limit — Поиск незащищённых методов, утечек данных, атак типа Broken Auth
• 5Формирование отчёта

  — Полный технический отчёт с описанием уязвимостей, рисков и методов эксплуатации — Привязка к OWASP Mobile Top 10 — Рекомендации по устранению с приоритизацией — Обобщённый отчёт для руководства