Небольшая порция информация о том как легко добраться до данных приложений, несмотря на то что их разработчики совсем этого не хотят. И несколько советов по предотвращению этого. South Fest 2014. 6.09.14

1. Реверс-инжиниринг
мобильных приложений
#SouthFest2014
Юрий Агеев
Точка Кипения

2. Кто? Зачем? Когда?
#SouthFest2014
их ломает
• пока ты спишь, конкурент качается изучает
тебя
• хакеры/любопытные/любители халявы
• исследователи

3. #SouthFest2014
Защита?
Абсолютной защиты нет!

4. #SouthFest2014
Не делать
приложение вовсе!

6. Можно сделать так!
#SouthFest2014

7. Что мы защищаем?
• данные пользователя
• backend
• транзакции
• алгоритмы
#SouthFest2014

8. Основные компоненты
• файлы
• сеть
• код
#SouthFest2014

9. #SouthFest2014
Файлы
• зашитые в приложение файлы
• файлы базы данных
• строковые файлы
• файлы конфигурации

10. #SouthFest2014
Инструменты
• iExplorer
• iTools
• Терминал/CMD

11. #SouthFest2014

12. Поможет - здравый смысл
• добавлять в сборку только те файлы, которые
«не жалко»
• следовать ТБ по работы с данными для
авторизации
• не хранить важные данные в открытом виде в
настройках
#SouthFest2014

13. #SouthFest2014
Сеть
• прослушка траффика
• прослушка защищенного траффика (SSL)
• подмена запросов на сервер
• например, с помощью Charles

14. #SouthFest2014
SSL
1.Сниффер с поддержкой SSL
Proxy
2.Установка сертификата на
устройства
3.Настройка сети на свой ПК
4.Сезам откройся!

16. #SouthFest2014
SSL Pinning

17. #SouthFest2014
Код
• токены
• механизмы авторизации
• восстановление алгоритмов
• инструменты использованные в разработке

18. #SouthFest2014
Обфускация

19. С Android проще!
• легче декомпилировать и
деобфусцировать*
• легче пересобрать
приложение и установить его
на устройство*
• изучение ресурсов
• аналогичные возможности по
прослушке трафика
#SouthFest2014

20. #SouthFest2014
И это все без…
Jailbreak

21. А если сделать?
#SouthFest2014

22. Новый дивный мир
• Обход SSL pinning (iOS SSL Kill Switch/Android
SSL Bypass)
• Runtime Debugging
• Хардкор - внесение изменений в код
приложения (дизассемблирование/
ассемблирование)
#SouthFest2014

23. #SouthFest2014

24. • файлы - RTFM!
• корректное использование SSL
• обфускация
• проверка на jailbreak
• anti-debug check
#SouthFest2014

25. #SouthFest2014
А что закон?

26. Статья 1280 ГК РФ. Свободное
воспроизведение программ для ЭВМ и баз
данных. Декомпилирование программ для
#SouthFest2014
ЭВМ

27. Лицо, правомерно владеющее экземпляром
программы …, вправе без разрешения автора или
иного правообладателя и без выплаты
дополнительного вознаграждения:
#SouthFest2014

28. • внести изменения, если не работает
• изготовить копию для архивных целей
• воспроизвести и преобразовать объектный
код в исходный текст (декомпилировать
программу для ЭВМ)
#SouthFest2014

29. … не должно наносить неоправданный
ущерб нормальному использованию
программы для ЭВМ или базы данных и
не должно ущемлять необоснованным
образом законные интересы автора или
#SouthFest2014
иного правообладателя.

30. #SouthFest2014
Спасибо за внимание!
Вопросы?
@wert1go
ageev@tochkak.ru