Android Pen Testing

Question

Android Pen Testing

#1 de neil (3 votos)
#2 de MattC (2 votos)
#3 de user1187 (2 votos)

4

He estado probando con lápiz una aplicación de Android aleatoria que utiliza el método POST para enviar datos a un servidor remoto mediante HTTPS.

He configurado un proxy y puedo interceptar el tráfico, sin embargo, el método POST parece estar cifrado y "codificado en url".

Lo que quiero saber es ... ¿hay un estándar de cifrado común seguido en un escenario como el Base64 o sería para que la aplicación utilice un mecanismo de cifrado de firma interno que cifra los datos antes de enviarlos a través de Método POST.

Cualquier orientación sería muy apreciada. Gracias de antemano!

web-application penetration-test android mobile

pregunta Shahrukh 27.01.2012 - 13:38

fuente

3 respuestas

Lea otras preguntas en las etiquetas web-application penetration-test android mobile

¿Cuáles son las mejores prácticas para mantener la privacidad en un dispositivo iOS sin jailbreak? Comprensión de la autenticación NTLM paso a paso

score 3 · Answer 1

La única forma de hacer que lo que quieres hacer sea trabajar es utilizar sslstrip en tu proxy proceso. Básicamente estás haciendo un ataque MITM.

Y sí, SSL / TLS encripta los encabezados HTTP así como la carga útil del paquete completo. El artículo de wikipedia en TLS explica cómo funciona el protocolo con buen detalle.

score 2 · Answer 2

2

Esto suena como un trabajo para análisis dinámico con una ROM de Android personalizada. Puede personalizar su propia versión de AOSP para enlazar llamadas a OpenSSL en los niveles de marco y / o kernel y descargar datos no cifrados en un archivo de registro en alguna parte.

respondido por el MattC 21.09.2012 - 21:35

fuente

score 2 · Answer 3

2

En general, los proxies proporcionan la capacidad de generar certificados autofirmados. Puede elegir importar estos certificados en el lado del cliente e interceptar la comunicación HTTPS en el proxy.

respondido por el user1187 23.09.2012 - 03:12

fuente