Android Pen Testing

Question

Android Pen Testing

#1 da (3 voti)
#2 da (2 voti)
#3 da (2 voti)

4

Sono stato a capo di un'app per Android casuale che utilizza il metodo POST per inviare dati a un server remoto utilizzando HTTPS.

Ho impostato un proxy e sono in grado di intercettare il traffico, tuttavia il metodo POST sembra essere crittografato e "url-encoded".

Quello che voglio sapere è .. c'è uno standard di crittografia comune seguito in uno scenario del genere qualcosa come Base64 o sarebbe così che l'applicazione utilizza un meccanismo di crittografia della firma internamente che crittografa i dati prima di essere inviato attraverso il Metodo POST.

Qualsiasi guida sarebbe molto apprezzata. Grazie in anticipo!

mobile android web-application penetration-test

posta Shahrukh 27.01.2012 - 13:38

fonte

3 risposte

Leggi altre domande sui tag mobile android web-application penetration-test

Cyber Security vs. Digital Security Gestione password e usura SSD

score 3 · Answer 1

L'unico modo per ottenere ciò che stai cercando di fare è utilizzare sslstrip nel tuo proxy processi. In pratica stai solo facendo un attacco MITM.

E sì, SSL / TLS crittografa le intestazioni HTTP e l'intero payload del pacchetto. L'articolo di wikipedia su TLS rompe il modo in cui il protocollo funziona in modo dettagliato.

score 2 · Answer 2

Sembra un lavoro per l'analisi dinamica con una ROM Android personalizzata. È possibile personalizzare la propria versione di AOSP per agganciare le chiamate a OpenSSL sia a livello di framework e / o kernel e scaricare i dati non crittografati in un file di registro da qualche parte.

score 2 · Answer 3

2

Generalmente, i proxy forniscono la possibilità di generare certificati autofirmati. È possibile scegliere di importare questi certificati sul lato client e intercettare la comunicazione HTTPS sul proxy.

risposta data 23.09.2012 - 03:12

fonte