Pentest en Android con Drozer

Como realizar pentest, utilizando la herramienta de Drozer como método principal.
Sirve para medir el nivel de seguridad de una aplicación.

1. Pentesting en Dispositivos
Android con
Drozer

2. T e m a r i o
1.Seguridad en Android
2.¿Qué es Drozer?
3.Obteniendo Credenciales
4. Live Demo

3. 1.Seguridad enAndroid
•Aplicaciones
•Framework de Aplicaciones
•Librerias
•Android Runtime
•LibreriasCore
•DVM (DalvikVirtual Machine)
•Capa Abstractade Hardware
•Kernelde Linux

4. ¿Qué es ?
Framework para Auditar y Atacar Dispositivos Android
Validar el nivel de seguridad de las aplicaciones
Usar y publicar exploits públicos
Descubre vulnerabilidades en las aplicaciones
Ejecuta código dinámico Java
En dispositivos reales o emuladores
Automatizar mediante módulos

5. Prerequisitos
1. Una laptop
-JRE o JDK
-SDK de Android
2. Emulador con Android >2.1 o un dispositivo
3. Descargar el instalador de Drozer
4. Descargar la app Agent.apk

6. Instalación
1. El cliente Drozer a través del instalador en la computadora

2. La aplicación en la consola:


3. Conectar la consola Drozer con la aplicación agente

$ adb install agent.apk
$ adb forward tcp:31415 tcp:31415
$ drozer console connect

7. Demo 1

8. UsandoDrozer
-El comando list mostrará los módulos preinstalados

El módulo app.package.manifest, obtiene el androidmanifest.xml

run app.package.manifest.com.miapp.vulnerable

9. Obteniendo Datos con Drozer
OWASP Top Ten Móviles

! Error de los desarrolladores !
MODE_WORLD_READABLE
MODE_WORLD_WRITABLE



$ /data/data/com.miapp.vulnerable/shared_prefs # cat
credentials.xml

10. Obteniendo Datos con Drozer
Obteniendo las credenciales



$ /data/data/com.miapp.vulnerable/shared_prefs # cat
credentials.xml

11. Demo 2

12. @cbreeto
/cbreeto
Carlos J. Brito Abundis
http://lnked.in/cbreeto
[email protected]