👾Android

Rootear dispositivo

• Recurso: https://www.xda-developers.com/root/

  • Android > 7: https://forum.xda-developers.com/t/guide-how-to-root-android-8-oreo-pixel-xl-safetynet-pass.3591548/

Extraer apk del dispositivo

El dispositivo debe tener el modo desarrollador activado, y estar conectado al pc.

Usar el Package Manager (pm) en la shell de abd para listar los paquetes:

adb shell pm list packages | sort

Para listar la ruta donde se encuentra el fichero .apk:

adb shell pm path com.appName
package:/data/app/com.appName/base.apk

Descargar el apk:

adb pull data/app/com.appName/base.apk

Instalar apk en el dispositivo

• Con ADB Listar los dispositivos conectados

adb devices

Instalar la aplicación en el dispositivo

adb install C:\path\to\appName.apk

Bypass SSLPinning

• Deshabilitar en una app con Objection

com.appName on (Android) [usb] # apk sslpinning disable

• Deshabilitar en una app con FRIDA

frida --codeshare sowdust/universal-android-ssl-pinning-bypass-2 -U -f com.appNa

Herramienta:

Android-CertKiller permite automatizar este proceso

python main.py -p 'root/Desktop/base.apk'

Configurar Burp Suite en el dispositivo

Conectar el dispositivo a la misma red que el pc

• Opcion alternativa con dispositivo físico: Activar la "zona con cobertura" (mobile hotspot) en el pc.

• Teniendo en cuenta que el movil debe estar rooted

1. Wifi > redConectada > configurar proxy > manual > IP del pc + puerto de burp (8082)

2. Abrir el navegador y escribir http://burp > instalar Certificado

• En caso de Android > v7 -> Añadir certificado en la system store

Recursos y enlaces de referencia de Android

• OWASP MSTG Official repo

• Mobile Security Testing Guide by OWASP (Android & iOS)

• Guía OWASP iOS y Android

• Android-Security-Reference

• Android Security Awesome

• Introducción a ingeniería inversa de Android

• Bypassing SSL Pinning on Android

• How to Bypass Certificate Pinning with Frida on an Android App

Para practicar Android

• APK InsecureShop

• APK DIVA

• InjuredAndroid - CTF

• OWASP UnCrackable Mobile Apps

• AndroGoat