AtlantSECURITY Нека поговоримКонтакт
Меню

Консултантски услуги и CISO

Пентест на мобилни приложения: Открийте какво App Store не проверява

Одобрението в App Store не замества теста за сигурност. Анализираме вашите iOS и Android приложения и проверяваме как се държат при контролирана атака. Търсим достъп до чужди данни, слабости в удостоверяването и начини за заобикаляне на защитите.

Определете обхвата на тестаВижте цените Вижте нашата методология

Нашите гаранции

Плащате след като одобрите доклада

Фактурираме едва след като прегледате и одобрите финалния доклад с констатациите.

Доклад за една платформа за 2-3 седмици

Предварително уточнен срок от началото на теста до предаването на доклада.

Ръководени лично от бивш консултант по сигурността в Microsoft

Всеки проект се ръководи от опитен специалист по мобилна сигурност.

Лаборатория за тестване на мобилна сигурност със смартфони, лаптоп и специализиран хардуер за пентест
200+Тествани мобилни приложения
iOS + AndroidИ двете платформи
OWASP MASVSМетодология по стандарта
Реални устройстваНе емулатори
Александър Свердлов, основател на Atlant Security
Александър СвердловОсновател, Atlant SecurityCISSP, CEH, CHFI, Mandiant

Преминава с екипа ви през резултатите от теста ред по ред.

Свържете се в LinkedIn

01 / ПОДРОБНОСТИ

Защо мобилните приложения са различни

Приложението се изпълнява на устройството на потребителя. Нападателят може да анализира инсталационния файл, локално съхранените данни и мрежовите заявки. Проверяваме и поведението на устройства с jailbreak или root достъп, при които част от защитите на операционната система могат да бъдат заобиколени.

Атакуема повърхностУеб приложениеМобилно приложение
Достъп до бинарен файлСамо сървърна странаНапълно изтегляем и обратим
Локално съхранениеCookies и localStorageKeychain, SharedPreferences, SQLite, файлове
Certificate PinningНе е приложимоПроверка дали защитата може да бъде заобиколена
Биометрична автентикацияОграничена (WebAuthn)Проверка на начина, по който приложението използва Face ID, Touch ID и пръстов отпечатък
Push известияБазовиПрез тях могат да изтекат чувствителни данни
Deep LinksСамо URL адресиURL schemes, Universal Links, App Links
Комуникация между приложенияНямаIntents, Content Providers, URL schemes
Сензори на устройствотоОграничениGPS, камера, микрофон, NFC, Bluetooth
iOS и Android смартфони с абстрактни визуализации на анализ на сигурността за мобилен пентест

02 / ПОДРОБНОСТИ

Какво тестваме: iOS срещу Android

iOS и Android имат различни защитни механизми. Съобразяваме тестовете с всяка платформа.

iOS тестване

  • Анализ и reverse engineering на IPA бинарен файл (class-dump, Hopper)
  • Оценка на Keychain съхранение
  • Конфигурация на App Transport Security
  • Objective-C/Swift runtime манипулация (Frida, Cycript)
  • Заобикаляне на jailbreak детекция
  • Тестване на Universal Links и URL schemes
  • Заобикаляне на certificate pinning (SSL Kill Switch, Objection)
  • Валидация на Data Protection API

Android тестване

  • Декомпилация и анализ на APK (jadx, apktool)
  • Инспекция на SharedPreferences и SQLite бази данни
  • Сигурност на Content Provider и Intent
  • Патчване на Smali код и препакетиране
  • Заобикаляне на root детекция (Magisk, Frida)
  • Експлоатация на deep links и WebView
  • Заобикаляне на certificate pinning (Frida скриптове)
  • Преглед на използването на Android Keystore

03 / ПОДРОБНОСТИ

6-те фази на нашия мобилен пентест

Шест етапа — от анализа на приложението до доклада и обсъждането на корекциите.

Фаза 1Ден 1-2

Разузнаване и настройка

Получаваме приложението от App Store, Google Play или от вашия екип. Подготвяме тестовите устройства и прокси за анализ на трафика. Описваме API заявките, външните библиотеки и комуникационните канали.

Фаза 2Ден 3-5

Статичен анализ

Анализираме приложението с jadx, apktool, class-dump и Hopper. Търсим пароли и API ключове, записани в кода, проверяваме криптографията и външните библиотеки и установяваме към кои услуги се свързва приложението.

Статичен анализ на мобилно приложение с преглед на код и визуализация на reverse engineering
Фаза 3Ден 6-9

Динамичен анализ

С Frida и Objection наблюдаваме и променяме поведението на приложението по време на изпълнение. Проверяваме удостоверяването, бизнес логиката, биометричния вход и откриването на jailbreak или root. Така оценяваме защитите при контролирана атака.

Смартфон, тестван динамично с runtime анализ и USB debugging връзка
Фаза 4Ден 10-12

Мрежово и API тестване

Анализираме мрежовите заявки, включително след контролирано заобикаляне на certificate pinning. Проверяваме удостоверяването, правата за достъп, бизнес логиката, ограниченията на заявките и възможното изтичане на данни.

Настройка за тестване на мобилна API сигурност със смартфон, свързан към монитор с визуализация на потока данни
Фаза 5Ден 13-14

Проверка на комбинирани атаки

Проверяваме дали отделни слабости могат да се комбинират — например изтичане на информация да доведе до превземане на акаунт. Документираме възпроизводимите сценарии и възможните последици за бизнеса.

Фаза 6Ден 15-17

Докладване и отстраняване

Получавате резюме за ръководството, технически констатации с CVSS оценки, стъпки за възпроизвеждане и конкретни корекции за iOS и Android. Обсъждаме всяка констатация с разработчиците и включваме примери за код, когато са приложими.

04 / ПОДРОБНОСТИ

Покритие на OWASP Mobile Top 10

Тестваме срещу пълния OWASP Mobile Top 10 (2024) - индустриалният стандарт за рискове за сигурността на мобилни приложения.

M1

Improper Credential Usage

Критичен
Какво тестваме

Пароли и ключове, записани в кода, несигурно съхранени данни за вход и неправилно обработване на токени

Чести констатации

Некриптирани API ключове, токени в SharedPreferences и данни за вход в plist файлове

M2

Inadequate Supply Chain Security

Висок
Какво тестваме

Анализ на SDK на трети страни, сканиране за уязвимости в библиотеки, преглед на зависимости, детекция на злонамерени пакети

Чести констатации

Остарели SDK с известни уязвимости, изпращане на лични данни към аналитични услуги и рекламни библиотеки с прекомерни права

M3

Insecure Authentication/Authorization

Критичен
Какво тестваме

Заобикаляне на биометрия, управление на сесии, валидация на токени, ескалация на привилегии, IDOR на мобилни API

Чести констатации

Заобиколена биометрична автентикация чрез Frida, слаби сесийни токени, нарушена авторизация на обектно ниво

M4

Insufficient Input/Output Validation

Висок
Какво тестваме

SQL injection, XSS в WebViews, path traversal, format string атаки, deep link injection

Чести констатации

JavaScript injection чрез deep links, SQL injection в локални SQLite заявки, XSS във вградени WebViews

M5

Insecure Communication

Висок
Какво тестваме

Заобикаляне на certificate pinning, детекция на cleartext трафик, слаби TLS конфигурации, MITM уязвимост

Чести констатации

Липсващ certificate pinning, HTTP fallback връзки, слаби cipher suites, данни, изпратени в cleartext

M6

Inadequate Privacy Controls

Среден
Какво тестваме

Лични данни в журнали и клипборда, заснемане на чувствителна информация и прекомерно събиране на данни за анализ

Чести констатации

Чувствителни данни в системните журнали, лични данни към аналитични услуги и кеширани снимки на екрана с финансова информация

M7

Insufficient Binary Protections

Среден
Какво тестваме

Устойчивост на reverse engineering, обфускация на код, anti-tampering, детекция на debugger, jailbreak/root детекция

Чести констатации

Без обфускация, лесно заобиколима jailbreak детекция, без anti-debugging, тривиално препакетиране

M8

Security Misconfiguration

Висок
Какво тестваме

Настройки за backup, debug флагове, експортирани компоненти, прекомерни разрешения, несигурна WebView конфигурация

Чести констатации

Активиран debug режим, android:allowBackup=true, експортирани activities без защита, JavaScript активиран в WebViews

M9

Insecure Data Storage

Критичен
Какво тестваме

Използване на Keychain/Keystore, разрешения на файловата система, криптиране на бази данни, анализ на кеш и temp файлове

Чести констатации

Чувствителни данни в plaintext файлове, некриптирани SQLite бази данни, токени в UserDefaults вместо Keychain

M10

Insufficient Cryptography

Висок
Какво тестваме

Криптографски алгоритми, управление на ключове, повторно използване на инициализационни вектори, собствена криптография и генериране на случайни числа

Чести констатации

Хардкоднати ключове за криптиране, остарели алгоритми (MD5, SHA1), използване на ECB режим, предвидими IV

05 / ПОДРОБНОСТИ

Какви видове мобилни приложения тестваме

Избираме тестовете според платформата и технологиите, с които е разработено приложението.

Native iOS

Swift и Objective-C приложения с пълен анализ на бинарен файл, тестване на Keychain и runtime манипулация чрез Frida и Cycript.

Native Android

Kotlin и Java приложения с декомпилация на APK, Smali патчване, тестване на Content Provider и преглед на Android Keystore.

React Native

Експлоатация на JavaScript bridge, анализ на Hermes bytecode, инспекция на AsyncStorage и преглед на сигурността на native модули.

Flutter

Анализ на Dart AOT бинарен файл, прихващане на platform channel, инспекция на Hive/Drift бази данни и reverse engineering базиран на snapshot.

Хибридни (Ionic/Cordova)

Проверка на WebView, уязвимости в плъгини, JavaScript код и локално съхранение на данни.

Progressive Web Apps

Сигурност на service worker, манипулация на кеш, тестване на Web API достъп и анализ на офлайн съхранение на данни.

Забележка: При React Native проверяваме и връзката между JavaScript и нативния код. При Flutter анализираме Dart компонентите, а при Xamarin — .NET кода. Методът се съобразява с технологията на приложението.

06 / ПОДРОБНОСТИ

Кой се нуждае от пентест на мобилно приложение?

Ако нещо от изброеното ви звучи познато, вашето мобилно приложение се нуждае от оценка на сигурността.

Стартирате мобилно банкиране, плащания или fintech приложение, което обработва чувствителни финансови данни
Вашето мобилно приложение съхранява или обработва защитена здравна информация и трябва да отговаря на HIPAA
Клиент, партньор или корпоративен купувач изисква оценка на мобилната сигурност преди интеграция
Приложението ви има милиони изтегляния и никога не сте имали професионален тест за мобилна сигурност
Подготвяте се за PCI DSS проверка и са ви необходими резултати от тестове за сигурност
Разработили сте собствен механизъм за удостоверяване или криптиране и искате независима проверка
Подозирате, че приложението ви може да е уязвимо на reverse engineering, клониране или злоупотреба с API
Приложението ви наскоро беше пробито или открихте неоторизиран достъп до потребителски данни

07 / ЦЕНИ

Цени за пентест на мобилни приложения

Прозрачно, фиксирано ценообразуване. Без почасово таксуване. Оферта в рамките на 24 часа.

ПакетОбхватСрокНачална цена
Една платформаiOS ИЛИ Android приложение2-3 седмициОт €4 500
Двете платформиiOS И Android приложения3-4 седмициОт €7 200
Двете платформи + APIiOS + Android + backend API4-5 седмициОт €10 800
Непрекъснато тестванеТримесечно за платформаПостоянноОт €3 200/тримесечие

В цената е включен един безплатен повторен тест след корекциите. След като екипът ви отстрани уязвимостите, проверяваме дали корекциите действат.

При комбиниран обхват предлагаме отстъпка. Свържете се с нас за индивидуална оферта.

08 / ПОДРОБНОСТИ

Защо да изберете Atlant Security за мобилен пентест

Какво отличава нашето тестване на мобилна сигурност от останалите.

Реални физически устройства, не емулатори

Тестваме на реални jailbroken iOS устройства и rooted Android устройства. Емулаторите пропускат хардуерни функции за сигурност като Secure Enclave, биометрични сензори и специфично за устройството поведение. Реалните устройства дават реални резултати.

Опитни специалисти по мобилна сигурност

Тестът се ръководи от специалист по мобилна сигурност. Работите със същия човек от определянето на обхвата до обсъждането на резултатите.

Фиксирана цена, оферта за 24 часа

Договаряме обхвата, фиксираната цена и резултатите преди началото на работата.

OWASP MASVS методология

Използваме OWASP Mobile Application Security Verification Standard (MASVS) и свързваме констатациите с приложимите му изисквания. Така разработчиците виждат коя защита трябва да бъде подобрена.

Включена безплатна повторна проверка

Повторно проверяваме отстранените уязвимости без допълнително заплащане и отразяваме резултатите в актуализиран доклад.

Доклади, разбираеми за разработчици

Докладът съдържа конкретни стъпки за корекция според платформата и примери за код, когато са приложими. Обсъждаме препоръките с iOS и Android разработчиците ви.

09 / ПОДРОБНОСТИ

Свързани услуги за сигурност

API пентест

Цялостна оценка на API сигурността за REST, GraphQL и WebSocket API.

Научете повече →

Пентест на уеб приложения

OWASP Top 10 тестване на уеб приложения с фокус върху бизнес логика.

Научете повече →

IT одит на сигурността

Одит на сигурността на компанията с план за корекции по приоритет.

Научете повече →

Всички пентест услуги

Вижте пълната ни гама от услуги за пентест на всички платформи.

Научете повече →

10 / ПОДРОБНОСТИ

Вашето приложение е в джоба на всеки потребител. Уверете се, че не е отворена врата.

Запазете безплатен 30-минутен разговор. Ще обсъдим приложението и необходимите тестове. До 24 часа ще получите оферта с фиксирана цена и ясен обхват.

Определете обхвата на тестаalexander@atlantsecurity.com

11 / ВЪПРОСИ

Често задавани въпроси за пентест на мобилни приложения

Колко струва пентест на мобилно приложение в България?
Пентестът на мобилно приложение при Atlant Security струва от €4 500 за една платформа (iOS или Android), €7 200 за двете платформи и €10 800 за двете платформи плюс backend API. Тримесечно непрекъснато тестване започва от €3 200 за платформа. Цената е фиксирана, с оферта до 24 часа, и включва безплатно повторно тестване след отстраняване на уязвимостите.
Колко време отнема мобилен пентест?
Тест на една платформа отнема 2-3 седмици. Двете платформи отнемат 3-4 седмици. Двете платформи плюс backend API отнемат 4-5 седмици. Активната фаза на тестване е 10-14 дни, с допълнително време за определяне на обхвата, докладване и разбор на живо.
Тествате ли и iOS, и Android?
Да. Тестваме native iOS приложения (Swift/Objective-C), native Android приложения (Kotlin/Java) и крос-платформени приложения, създадени с React Native, Flutter, Xamarin, Ionic и Cordova. Всяка платформа има уникални вектори на атака и имаме специалисти и за двете.
Нужен ли ви е нашият сорс код?
Не. Правим reverse engineering на компилирания бинарен файл - точно както би направил реален атакуващ. Декомпилираме APK с jadx и apktool и анализираме iOS IPA с class-dump и Hopper. Ако искате да предоставите сорс код за white-box преглед, можем да направим и това, но не е задължително.
Можете ли да заобиколите нашата jailbreak/root детекция?
Проверяваме дали механизмите ви за откриване на jailbreak и root могат да се заобиколят с Frida, Objection, Magisk или специално подготвени скриптове. Документираме установените слабости и препоръчваме подобрения.
Какво е OWASP Mobile Top 10?
OWASP Mobile Top 10 е индустриалният стандарт за най-критичните рискове за сигурността на мобилни приложения. Версията от 2024 покрива 10 категории от Improper Credential Usage до Insufficient Cryptography. Нашата методология за тестване покрива всички 10 категории изчерпателно.
Тествате ли и backend API-то?
Стандартният ни мобилен пентест включва тестване на API заявките, направени от приложението. За пълна самостоятелна API оценка, покриваща цялата API атакуема повърхност, предлагаме комбиниран мобилен + API пакет, започващ от €10 800.
На какви устройства тествате?
На реални физически устройства - не само емулатори. Нашата лаборатория включва jailbroken iOS устройства и rooted Android устройства от различни модели и версии на ОС. Реалните устройства са от съществено значение за тестване на хардуерни функции за сигурност като Secure Enclave, биометрична автентикация и специфично за устройството поведение.
По какво се различава мобилният пентест от пентеста на уеб приложения?
Мобилните приложения се изпълняват на устройството на потребителя, което означава, че бинарният файл е в ръцете на атакуващия. Мобилният пентест изисква reverse engineering на бинарни файлове, runtime манипулация с Frida, тестване на jailbroken/rooted устройства и оценка на специфични за платформата механизми за сигурност като Keychain, certificate pinning и биометрична автентикация.
Предлагате ли повторно тестване след отстраняване на уязвимостите?
Да. Включен е един безплатен повторен тест. Проверяваме корекциите и посочваме в актуализирания доклад кои уязвимости са отстранени и кои остават.
Нужен ли е пентест на мобилното приложение за PSD2 или мобилно банкиране?
Да. Приложенията за мобилно банкиране и плащания в ЕС подлежат на изисквания за сигурност по PSD2 и на очакванията на БНБ и картовите схеми. Пентестът с OWASP MASVS методология е стандартното доказателство, което одитори и партньори изискват.
App Store и Google Play не проверяват ли сигурността на приложението?
Проверката в магазина за приложения не замества независимия пентест. Той разглежда и въпроси като съхранение на токени, защита на връзките и възможност чрез API да се достигне до чужди данни.

ОПРЕДЕЛЕТЕ ОБХВАТА

Подгответе запитване за тест за проникване.

Опишете приложенията, API, мрежите и облачните системи, които искате да тестваме. Прегледайте запитването и го изпратете. Ще получите копие по имейл, а можете да го изтеглите и като документ.

Ще видите само въпросите за избрания обхват. Приблизителни стойности и отговор „Не съм сигурен/сигурна“ са достатъчни.