Comandos Drozer Pentest Móvil

En este Post, usaremos algunos buenos comandos de esta herramienta y las simulaciones que se pueden hacer.

Complementos necesarios para que funcione:

• sudo pip2.7 install drozer-2.4.4-py2-none-any.whl
• sudo pip2.7 install Twisted-20.3.0-cp27-cp27mu-manylinux1_x86_64.whl
• sudo pip2.7 install pyOpenSSL-19.1.0-py2.py3-none-any.whl
• sudo pip2.7 install protobuf-3.12.2-py2.py3-none-any.whl
• sudo pip2.7 install service_identity-18.1.0-py2.py3-none-any.whl

Herramientas a usar:

• Drozer console        - En Debian
• Drozer Agent           - APK Android
• InsecureBankv2       - APK Android

Evadir la detección de root y algo de SSLPinning

En algunas ocasiones cuando nos toca auditar alguna aplicación móvil, nos topamos con algunos mecanismos de seguridad, que nos dificultan un poco la revisión.

En esta ocasión, vamos a evadir la detección de root y ejecutaremos los mismo comandos para evadir SSL Pinning (Esta apk no hace request, por lo que no habrá evidencia del Burp), para este caso vamos a usar una apk del proyecto de OWASP en Github, esta se llama UnCrackable-Level1

Herramientas a usar:

• Genymotion
• Adb
• Frida
• Objection

Empecemos :)