Descripción
Este
training permitirá a los que lo cursen aprender técnicas de penetration testing
de aplicaciones y métodos de explotación de vulnerabilidades en Android.
Este
training pone foco en la práctica de las técnicas explicadas durante el curso,
para que el alumno incorpore no solo la teoría, sino que también pueda
incorporar experiencia en la explotación de las vulnerabilidades. La modalidad
del curso será la presentación teórica de cada uno de los módulos y un conjunto
de aplicaciones o situaciones en las cuales se deberán aplicar los
conocimientos explicados. Para cada módulo se presentarán distintas
alternativas variando la técnica o la dificultad de aplicación de esta.
Para
el curso se presentará una maquina virtual con todas las herramientas que se
necesitarán durante el curso.
Objetivos principales:
Entender
el ecosistema de los sistemas Android y la arquitectura de las aplicaciones.
Identificar
ciertos riesgos asociados al mal uso de la plataforma o errores comunes en el
desarrollo.
Ejecutar
los pasos de un penetration test de aplicaciones Android.
Adquirir
conocimientos que posibiliten auditar la seguridad de aplicaciones Android.
Dia 1
Módulo
1:
● Introducción al Android
● Introducción a aplicaciones Android
● Modelo de permisos y arquitectura de seguridad de dispositivos Android
● Explicación de OWASP Top 10 para Android.
● Explicación de features de seguridad agregados desde Android 4.2 en
adelante
Módulo
2:
● Manipulación de APK
● Explicación de formato APK
● Explicación de componentes de aplicaciones (Activities, Content
Providers, Broadcast Receivers, Services)
● Reversing de aplicaciones
● Análisis de aplicación decompilada
● Proceso de modificación de aplicaciones y redeploy en emulador
● Introducción a Android Debug Bridge
● Instalacion de aplicación en emulador
● Troubleshooting de errores
● Escenarios de errores más comunes en instalación de aplicaciones
● Controles de rooteo y Bypass
● Interceptando el tráfico del dispositivo
● Control de certificados
● Certificate Pinning y Bypass
● Control de debugging y Bypass
Módulo
4:
● Analizando storage de datos
● Explorando información de /data/data
● Modelo de seguridad de file system
● Análisis de configuración de permisos inseguros
● Información sensible en archivos inseguros
● Utilización de memoria externa
● Seguridad en bases de datos SQLite y data dumping
● Análisis de shared preferences
● Análisis de storage del lado del server
● Secretos hardcodeados en código fuente
● Casos de criptografía insegura
Presentación
de casos integradores para resolver
Dia 2
Módulo
5:
● Atacando IPC (análisis dinámico)
● Atacando Content Providers
● Abuso de Intents
● Ataques a Activities
● Vulnerabilidades en Broadcast Receivers
● Introducción a Binder y posibles ataques
Módulo
6:
● WebViews
● Interceptando comunicación en SSL
● Transmision de informacion sensible
● Ataques MitM
● Explicación de WebViews
● Vulnerabilidades en WebViews
Módulo
7:
● Aplicaciones Híbridas
● Explicación de estructura de aplicaciones híbridas y superficies de ataque
● Arquitectura de aplicaciones en Apache Cordova
● Ataques a aplicaciones construidas en Apache Cordova
● Arquitectura de aplicaciones React Native
● Ataques a aplicaciones construidas en React Native
Presentación
de casos integradores para resolver
Instructores
Cesar Rodriguez
César
trabaja como Security Researcher en Faraday. Se dedica principalmente a hacer
assessment de seguridad en aplicaciones web y mobile. Tiene un background de
desarrollo en Java, por lo que le resulta natural el entorno de aplicaciones
Android. Le encanta hacer research sobre técnicas o formas de mejorar el
proceso de penetration testing sobre Android, y entender cómo funciona el
ecosistema Android tanto a alto como a bajo nivel.
Gabriel Franco
Gabriel trabaja como security researcher en Faraday,
llevando a cabo proyectos de pentesting tanto en infraestrucuras web como
mobile donde también se interesa por el research en general. Jugador aficionado
de bugbounties y romper cosas en general, sin animos de ofender a nadie.
____________________________________________
\________________________________________
Para inscripciones o recibir más información, consultanos a: capacitacion@ekoparty.org
No hay comentarios:
Publicar un comentario