您的APP安全嗎? - 羊小咩

所有議程請見議程表。

歡迎來到 https://hackmd.io/@iPlayground/2019 共筆

Image Not Showing Possible Reasons
  • The image file may be corrupted
  • The server hosting the image is unavailable
  • The image path is incorrect
  • The image format is not supported
Learn More →

點擊本頁上方的 開始用 Markdown 一起寫筆記！
手機版請點選上方 按鈕展開議程列表。

請從這裡開始

YouTube

Image Not Showing Possible Reasons
  • The image file may be corrupted
  • The server hosting the image is unavailable
  • The image path is incorrect
  • The image format is not supported
Learn More →

Slide

你有做到這三點嗎

  • 連線採用 https
  • 資料檔案加密
  • 傳輸訊息時押碼

攻擊手法

  • 中間人攻擊/嗅探器
  • 取得未加密檔案/文件
  • 記憶體編輯
  • 動態程式碼注入攻擊
  • 反組譯 ClassDump

GUI Debug proxy

  • Charles
  • Burp Suite
  • Fiddler

取得AppStore ipa小技巧

  • Apple Configurator 2

還原偽代碼

  • IDA
  • Hopper

軟體 FLEX

網路通訊安全

  • 訊息隱密性 (Confidentiality)
  • 訊息完整性 (Integrity)
  • 訊息來源辨識性 (Authentication)
  • 訊息不可重複性 (Non-duplication)
  • 訊息不可否認性 (Non-repudiation)

密碼學

  • 對稱式加密
    • AES
    • 3DES
  • 非對稱式加密
    • RSA
    • ECC

訊息鑑別碼

  • 傳輸訊息多一組鑑別碼來判斷資料是否被改過

憑證綁定 Certificate Pinning

  • 在App崁入公鑰, 但會有過期問題

混淆 ObFuscation

  • 字串混淆
  • 程式碼混淆
  • 程式碼邏輯混淆
    • 控制流扁平化
    • 指令替換
    • keychain

MAS

基本套路

  • 提取iap, 脫掉ipa加密保護
  • 分析ipa中的mach-o文件
  • dump class
  • UI分析(推薦用Lookin操作)
  • framework分析
  • http 協議分析

實戰演練

去廣告

如何防禦

tags:iPlayground2019
Select a repo