Мобильный пентестинг 101 – Как настроить среду Android

[D2]

Мобильный пентестинг 101 – Как настроить среду Android​

Продолжая серию Мобильный пентестинг 101, эта статья дает представление о том, как должна выглядеть ваша среда тестирования Android. Какие инструменты я должен использовать? Действительно ли мне нужно физическое устройство? Нужно ли мне рутированное устройство для пентестирования приложения? Я постараюсь ответить на все эти и другие вопросы в следующих строках.

Дебаты: Физическое устройство против эмулятора

• Физическое устройство
• Эмулятор

Настройка вашего Android-устройства

• Виртуальное устройство Android
• Как рутировать ваш AVD – Magisk
• Genymotion

Подготовка вашего устройства

• Drozer
• Friday
• Установка сертификата BurpSuite
• СОВЕТ: Аттестация SafetyNet Magisk

Подготовка вашей тестовой станции

• МобСФ
• APKTool
• Jadx-Gui
• Drozer
• Friday
• Objection
• Runtime Mobile Security (RMS)

Вывод

Дебаты: Физическое устройство против эмулятора​

В Интернете идет бурная дискуссия о том, что должен использовать пентестер: физическое или эмулируемое устройство. Я не буду говорить, что вы должны придерживаться только один вариант, потому что это не всегда так. Вы можете столкнуться с некоторыми ситуациями, когда эмулятор бесполезен, и с некоторыми случаями, когда физическое устройство просто не может выполнить эту работу. Я приведу вам несколько плюсов и минусов для каждого из них, а потом вы сможете выбрать то, что вам больше подходит.

Физическое устройство

• Плюсы
  • Большинство устройств Android поставляются с процессорами ARM;
  • Не полагаясь на технические характеристики ноутбука;
• Минусы
  • Вы не можете изменить уровень API Android в соответствии со своими потребностями;
  • Рутинг может заблокировать ваш телефон, поэтому его трудно заменить;
  • В некоторых моделях устройств еще нет метода рутинга.

Эмулятор

• Плюсы
  • Вы можете свободно выбирать свои Android API и переключаться между ними;
  • Вы всегда можете запустить новый эмулятор в случае сбоя;
  • Легко рутается или уже зарутан.
• Минусы
  • Некоторые приложения могут выйти из строя из-за отсутствия спецификаций;
  • Потребляет ресурсы ноутбука;
  • В некоторых эмуляторах отсутствует биометрическая аутентификация, которая имеет решающее значение для современных приложений.

Настройка вашего Android-устройства​

Поскольку большинство из нижеследующего применимо как к физическим, так и к эмулируемым устройствам, я представлю только аспекты, используемые для эмулируемого устройства. Итак, когда дело доходит до эмуляторов, существует множество бесплатных опций при настройке вашей среды Android. Наиболее распространенными являются Android Virtual Device (AVD), Genymotion и Nox Player. Genymotion по умолчанию рутирован, у NoxPlayer есть возможность включить root, а с помощью AVD root можно легко получить.

Виртуальное устройство Android​

Давайте начнем с создания нового виртуального устройства с помощью Android Studio. Вот несколько замечаний, которые необходимо сделать:

• Если вы решите создать устройство без сервисов Google Play, по умолчанию устройство будет рутировано, но после этого может возникнуть сложность с установкой сервисов.
• Если вам нужны сервисы Play, то устройство по умолчанию не рутировано, и вы, возможно, захотите его рутировать.

Создание устройства с помощью Android Studio

Лично я использую Pixel 3 в качестве тестирующего устройства

Выберите версию API, я выбираю версию, в которой уже установлены API Google

Завершите настройку эмулятора​

Теперь, если вы используете эмулятор без установленных API Google, вы можете пропустить эту часть.

Как рутировать ваш AVD – Magisk​

Благодаря сообществу XDA, теперь у нас есть скрипт, который мгновенно рутирует ваш AVD и устанавливает Magic на ваш эмулятор. Инструмент называется root AVD, и его можно найти на GitHub. -https://github.com/newbit1/rootAVD

Следуйте инструкциям и рутируйте свое устройство​

Следующая команда - это та, которую я использовал для рутирования своего AVD, и она работает каждый раз, так что вам стоит попробовать.

Код: Скопировать в буфер обмена
./rootAVD.sh ~/Android/Sdk/system-images/android-31/google_apis/x86_64/ramdisk.img

Magick установлен на AVD​

Genymotion​

Вы можете Скачать