Es posible extraer y reutilizar la API de una aplicación de banca móvil [cerrado]

Question

Es posible extraer y reutilizar la API de una aplicación de banca móvil [cerrado]

#1 de marstato (2 votos)

2

Soy consciente de las técnicas básicas utilizadas para realizar ingeniería inversa y extraer información significativa para reutilizar una API de aplicaciones.

Sin embargo, no soy un adepto a las técnicas avanzadas.

¿Es razonablemente posible extraer la información de la API para reutilizarla? En general, pregunto porque soy consciente de que todas las aplicaciones se crean de forma diferente.

Estoy pensando que el mayor problema sería si hubiera alguna ofuscación avanzada de código.

Dicho esto, es posible que no sea necesario leer el código. Si solo pudiera MITM la conexión SSL, entonces podría averiguar la API. Tendría que cambiar el certificado SSL en la aplicación si existe. Esto cambiaría la firma APK, sin embargo.

android reverse-engineering

pregunta jim 16.12.2015 - 10:24

fuente

1 respuesta

Lea otras preguntas en las etiquetas android reverse-engineering

MITMproxy no muestra el tráfico HTTP / HTTPS de las aplicaciones de Android ¿Importa que la plataforma universal de Windows (UWP) esté abierta a los ataques de phishing?

score 2 · Answer 1

Sí, MITM es el camino a seguir.

Ingeniero inverso posible de fijación de certificados

Primero tendrá que cambiar el certificado. Supongo que cualquier aplicación de banca razonable lo tiene fijado. Cree su propio certificado y cámbielo. Elimine la firma del archivo APK para que Android la instale.

Redirigir a su servidor MITM

Tendrá que redirigir las solicitudes de la aplicación a su servidor MITM. Puede cambiar el nombre de host en la aplicación, pero la forma más fácil es rastrear a qué servidores se conecta la aplicación y configurar su propio DNS (se puede hacer con cualquier enrutador doméstico o herramientas de Windows que no sean baratos).

Root CA

Si su certificado no está firmado por una CA raíz de Android de confianza, tendrá que agregar el certificado de firma a las CAs raíz de su teléfono. No sé cómo hacerlo en particular, pero Google ayudará.

Configurar el servidor MITM

Sugeriría que su servidor MITM realice un seguimiento de todo el tráfico, parece ser la forma más sencilla para mí. Pero también puede usar un rastreador de red (por ejemplo, Wireshark) y descifrar el tráfico con su propio certificado.

Si Android instala la aplicación (habilita la instalación desde fuentes no confiables), todo debería funcionar.