Destripando y protegiendo aplicaciones android

by Sergio Arcos Sebastián

Destripando y protegiendo
aplicaciones Android

Destripando y protegiendo aplicaciones Android ~ 1

Índice
●
Introducción
●
Marco de seguridad en el diseño de Android
●
App1 – Difamación
●
App2 – Invasión
●
App3 – Recopilación
●
App4 – Suplantación
●
Consejos y conclusiones


Disclaimer

1) No aprendáis de mis aplicaciones...
... vosotros programáis mejor :)
2) No sé si durará 1 hora o 3 horas...
... ¡ups!
3) No sé si será Master.class...
... pero esperemos que sí sea divertida.


¿Quién soy?
●
Poca memoria
●
Autodidácta
●
Consultor de
seguridad
informática en
www.blueliv.com
●
Miembro del equipo
técnico de
www.pirata.cat

Mi primera APP
●
Lector RSS, Google
Calendar, Sistema de
participación, ...
●
Permite autenticarse
y votar
●
Actualmente v2.3
●
Falta mejorar tanto
su usabilidad como
su seguridad
(pname:cat.pirata.activities)

¿Porqué esta presentación?

“Se aprende enseñando”

¿Qué es la seguridad?

"Algo es seguro hasta que deja de serlo"

(Definición cutre pero real)


Son suculentos. ¿Por qué?
●
Bastante potencia de CPU
●
Muchas cuentas de muchas plataformas juntas
●
Conexión permanente 3G
●
Funciones de llamada y SMS
●
Poco tiempo en el mercado
●
Baja frecuencia de actualización

... pero ninguno de estos es el mayor problema...

Esta autoadministrado :(


¿Qué podemos controlar?
●
Legitimidad del software (fiabilidad)
●
Información y transparencia (confianza)
●
Comunicaciones seguras (protección)
●
Datos protegidos (privacidad)
●
Actualizaciones constantes (soporte)
●
Buenas prácticas de uso (consciencia)


Objetivo

mitigar posibles futuros daños elevando el
numero de capas de protección
implementadas en el sistema/aplicaciones

¿Cómo?

Capa oculta

(Interacción Humano-Computador Segura, ¡te invocó!)


Nota informativa

Como mis conocimientos de la `Interacción
Humano-Computador Segura´ son bastante
introductorios, usaremos otro método:
●

●
A palos. (lease: a base de precedentes)
●

●
"La letra con sangre entra", Goya


Índice
●
Introducción
●
●
●
App2 – Invasión
●
●
●


Hardware ~ ARMvX
●
Instrucciones RISC 32 bits, Bi-Endian
●
Uso de Registros
●
ARM-Thumb

●
Syscalls = x86
●
Modulos para
Metasploit
http://dev.metasploit.com/redmine/attachments/459/exec.rb


Hardware ~ Memoria

Interna: Externa:
●
ROM & RAM ●
SDCard – NAND
●
FileSystem: YAFFS ●
FileSystem: FAT32
(por defecto [mksdcard])
●
Varias particiones
●
"Única" partición
●
# df -h
●
# fdisk -l
●
/dev/block/dm-X /dev/block/mmcblk0
-> /mnt/asec/App/
●
Parecido a /tmp (-t)
(sticky bit)


Hardware ~ Memoria – App 1
●
Espacio compartido
●
Leer/ejecutar no
requiere permisos
●
Escribir requiere
android.permission.WRITE_
EXTERNAL_STORAGE
●
Poco espacio en
memoria interna
●
Común y natural!!


Wooops!.. [Never happened]


Hardware ~ Memoria – App 2


Hardware ~ Comunicación
●
Mini-USB
●
Wireless
●
Bluetooth
●
SDCard
●
Tarjeta SIM
●
Pantalla
●
Otros (infrarojos, ...)


Android ~ Estadísticas 1
●
Mayo 2009 – 30,000 por día
●
Mayo 2010 – 100,000 por día
●
Agosto 2010 – 200,000 por día
●
Diciembre 2010 – 300,000 por día
●
Mayo 2011 – 400,000 por día
●
Junio 2011 – 500,000 por día

●
4.500.000.000 aplicaciones descargadas

Android ~ Estadísticas 2


Android ~ basado en Linux 1


Android ~ basado en Linux 2


Android ~ Google
●
ro.secure = {0,1}
●
El Market es $deity
●
Base de datos con las firmas
●
Reporte de infracciones
●
Permite instalar apps a
través de su web
●
Mejora las funciones (wipe,
encriptar, ...)
●
Posibles condiciones a los proveedores.

Android ~ Particiones
●
/boot -> bootloader + kernel
●
/system -> sistema operativo + apps (de sistema)
●
/recovery -> boot alternativo
●
/data -> datos del usuario + apps
●
/cache -> datos reaprovechables
●
/misc -> configuraciones (hardware)
●
/sdcard -> Environment.getExternalStorageDirectory();
●
/sd-ext -> APP2SD+ / data2ext ¿y /var/log?
¿y encriptar?

Android ~ VirtualMachine
●
Todo corre en diferentes Sandbox (falsooo!)
●
Sistema basado en PRIVILEGIOS
A) Ejecutamos código nativo (JNI)
– Se hizo una charla GTUG de esto :) (buscad NDK)
B) Ejecutamos código DalvikEXecutable (DEX)
– Similar a Java; optimizado y reducido para perifericos
●
Protecciones de datos entre diferentes
instancias (ej: navegador->Webview)
●
Zygote: sistema de padres-hijos

Android ~ Usuarios
¿mono-usuario por ser mono-propietario?


Android ~ APK 1
●
Usando adb
> adb install /path/pkg.apk
●
En la shell
$ am start -a android.intent.action.VIEW -d file:///path/pkg.apk -t text
-n com.android.packageinstaller/.PackageInstallerActivity
●
Con el navegador iendo a file:///path/pkg.apk
●
Con la cuenta de Google desde Google Market


Android ~ APK 2
●
Mover a /system/app
●
Solapar una app ya existente /data/app
●
El sistema comprueba firmas en 2 ocasiones:
– Instalando una aplicación
– Reiniciando el sistema
●
# pm install -t /path/pkg.apk
●
Usando un paquete `update.zip´ (firmado) a
través del modo de arranque /recovery


Android ~ APK 3
●
Necesitan estar
firmadas
(Modo debug o no)

●
APK = ZIP + jarsigner
+ zalign

●
Objetivo: Control
absoluto de la app

Android ~ Permisos 1
●
Regular, peligroso, sistema y firmados (116)
●
Consultar Settings.Secure (import android.provider.Settings;)
●
Combinaciones más que peligrosas. Ej:
PHONE_STATE + RECORD_AUDIO + INTERNET
●
Filosofia: "O todo o nada"

●
06-29 21:33:38.540: WARN/InputDispatcher(162): Permission denied: injecting event from pid
13267 uid 10122 to window with input channel 40a21648
com.android.packageinstaller/com.android.packageinstaller.PackageInstallerActivity (server)
owned by uid 10046

(Error obtenido AÚN habiendo asignado el permiso INJECT_EVENT. ¡Mola!)
●
Existe el permiso "BRICK" (9 apps en el market). ¡No mola!

Android ~ Permisos 2


Android ~ Cuentas


Manos a la obra!!


Índice
●
Introducción
●
●
●
App2 – Invasión
●
●
●


Objetivos
●
Aplicación común
(Webview) sin
ofuscar
●
Análisis del APK
●
Apktool, dex2jar,
dexdump
●
Código dinámico
●
Análisis del
DroidDread

Índice
●
Introducción
●
●
●
App2 – Invasión
●
●
●


Objetivos
●
Aplicación común
(Webview) ofuscada
con Proguard
●
Uso de AndroGuard
●
Intrusión web
●
Retrace de Proguard
●
Keystore y las claves
seguras


Índice
●
Introducción
●
●
●
App2 – Invasión
●
●
●


Objetivos
●
Aplicación nativa con
autenticación SSL
mediante webservice
●
Ataque del Hotspot
●
Introducción al
sniffing vía wireless
●
AndroidAuditTools
●
WhisperSys tools


Índice
●
Introducción
●
●
●
App2 – Invasión
●
●
●


Objetivos
●
Autenticación por
lista blanca de
móviles
●
Técnicas anti-debug
●
Introducción al
emulador como
herramienta de
reversing
●
DroidBox &
TaintDroid

Índice
●
Introducción
●
●
●
App2 – Invasión
●
●
●


Derivados...


Consejos
●
Guarda muy bien los
ficheros: Sois el
●
Keystore de firmar objetivo
Mapping.txt
número 1
●

●
Recuerda:
●
Mínimos permisos de las
SSL verificado
mafias de
●

●
Datos en la Sdcard
●
Tenla actualizada malware

Conclusiones


Retos interesantes


Preguntas, dudas,
comentarios < /dev/random

Sergio Arcos Sebastián

Destripando y protegiendo aplicaciones android

Más contenido relacionado

Similar a Destripando y protegiendo aplicaciones android (20)

Último (20)

Destripando y protegiendo aplicaciones android