26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

DENUNCIA
Servicios de Seguridad Ciberntica

Mobile Pruebas de Penetracin En Android

Usando Drozer [DESCARGAR + TUTORIAL]
DzGangster (http://terminatio.org/author/dzgangster/)

10 de julio 2015

Noticias (http://terminatio.org/category/news/) , Tutoriales

(http://terminatio.org/category/tutorials/)

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

1/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Los telfonos mviles se han convertido en una parte indispensable de nuestra vida
cotidiana. Utilizamos los telfonos mviles para comunicarse con nuestros seres
queridos, para un rpido acceso a la informacin a travs de Internet, para realizar
transacciones a travs de aplicaciones de banca mvil o para relajarse leyendo un
buen libro.
En cierto modo, una gran parte de nuestra vida privada se ha movido en el entorno
digital. Los telfonos mviles parecen ser un tesoro de bolsillo de secretos e
informacin, ocultando nuestras fotos ms valiosas, correos, contactos e incluso
informacin bancaria. No es de extraar por eso que necesitan los telfonos mviles
para tener seguridad a prueba de balas.
Android es el sistema operativo ms comn para los dispositivos mviles y es
particularmente interesante desde el punto de vista de seguridad. Es muy permisiva,
que permite a sus usuarios personalizar casi cualquier cosa, privilegios administrativos
(aka enraizamiento) puede ser desbloqueado en la mayora de los telfonos, que tiene
un sistema muy difusa para los permisos requeridos por las aplicaciones y
caractersticas de diferentes maneras para una aplicacin para interactuar con otros
aplicaciones.
En esta entrada del blog, nos vamos a centrar en cmo las aplicaciones de Android
pueden interactuar entre s y cmo la seguridad de esas interacciones se puede probar.

Cmo aplicaciones pueden interactuar

entre s
Los principales mtodos para las comunicaciones entre aplicaciones son:
1. Una aplicacin puede enviar una intencin con el fin de iniciar una actividad
exportado por otra aplicacin;
2. Una aplicacin puede acceder a los contenidos proporcionados por otra
aplicacin, utilizando contenido: // URI;
3. Una aplicacin puede retransmitir un acontecimiento a travs de aplicaciones con
el fin de interactuar con un receptor de radiodifusin implementado en otra
aplicacin;
4. Una aplicacin puede acceder a un servicio exportado por otra aplicacin.

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

2/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Como se puede ver, hay muchas interacciones. Prueba de una manera anticuada
(mediante la creacin de una aplicacin para todas las pruebas que tenga en mente,
instalarlo en su dispositivo y ejecutar la prueba-app) es mucho tiempo, as que no es
realmente una solucin. Aqu es donde entra en juego Drozer.

Presentacin de Drozer
Drozer es un ambicioso proyecto desarrollado por MWR InfoSecurity. Aunque es una
navaja suiza tipo de herramienta, me centrar en la forma en que se puede utilizar con
el fin de comenzar con una actividad exportado.
En primer lugar, es necesario instalar Drozer . Usted puede hacerlo dirigindose a la
oficial pgina (https://www.mwrinfosecurity.com/products/drozer/#downloads) y siga
las instrucciones, o puede descargar Appie (https://manifestsecurity.com/appie/) - un
conjunto de herramientas creadas para las pruebas de penetracin mvil, contiene
una versin porttil de Drozer.
En segundo lugar, es necesario instalar el Agente Drozer en su dispositivo mvil. El
dispositivo mvil no tiene que tener sus races. Agente Drozer es una aplicacin para
Android que requiere privilegios mnimos (acceso internet solamente) y acta como un
puente entre el Drozer instalar desde el ordenador y el dispositivo mvil. Se puede
descargar de las mismas fuentes como se mencion anteriormente, teniendo en
cuenta que la Drozer versin y Agente Drozer versin deben coincidir.
El tercer paso es instalar en su dispositivo mvil la aplicacin que desea probar. Para
las pruebas y la formacin, puede utilizar una de las siguientes aplicaciones:
tamiz de
(https://www.mwrinfosecurity.com/system/assets/380/original/sieve.apk) una
aplicacin maldita vulnerable desarrollado por MWR InfoSecurity -;
FourGoats - una aplicacin vulnerable incluido en de OWASP GoatDroid
(https://github.com/jackMannino/OWASP-GoatDroid-Project) proyecto;
Rebao financiera - otra aplicacin vulnerable incluido en de OWASP GoatDroid
(https://github.com/jackMannino/OWASP-GoatDroid-Project) proyecto;
una aplicacin en el mundo real, voy a utilizar para esta demo Firefox para
Android (https://play.google.com/store/apps/details?id=org.mozilla.firefox) instalado desde Google Play.

Conexin Drozer al dispositivo mvil

Para conectar Drozer al dispositivo mvil, tenemos que seguir los siguientes pasos:
http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

3/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Conecte el dispositivo mvil al ordenador mediante un cable USB;

Abra la aplicacin Agente Drozer en su dispositivo mvil y haga clic en el SOBRE
botn de la parte inferior derecha;

Iniciar Agente Drozer

Utilice adb.exe para abrir un socket TCP entre el ordenador y el servidor
incrustado en Agente Drozer: adb.exe tcp adelante: 31415 tcp: 31415
Ir a la carpeta donde instal Drozer y conectarse al dispositivo mvil: consola
drozer.bat conectar

(https://kpmgsecurity.files.wordpress.com/2015/07/drozer-console-connect.png)

Inicio de una actividad de otro paquete

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

4/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Ok, ahora tenemos una consola Drozer interactiva. Qu podemos hacer? Vamos a
empezar una actividad, comando por comando:
lista , se mostrar una lista de comandos disponibles en Drozer

ejecutar app.package.list -f firefox para encontrar una lista de paquetes que

contienen la cadena "firefox"; encontramos org.mozilla.firefox.

ejecutar app.package.attacksurface org.mozilla.firefox para identificar la

superficie de ataque para nuestra aplicacin; encontramos 113 actividades
exportados, 12 receptores exportados de difusin, 8 exportan los proveedores de
contenidos y servicios exportados 1; este es un buen ejemplo de una superficie
de gran ataque.

ejecutar app.package.manifest org.mozilla.firefox para extraer el archivo

AndroidManifest.xml para nuestro paquete (para encontrar informacin acerca
de las actividades de exportacin).

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

5/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

ejecutar app.activity.info -a org.mozilla.firefox a la lista de las actividades de

exportacin; podemos ver que hay una actividad exportado llamado
org.mozilla.firefox.App que no requiere ningn permiso para ser iniciado.

Analizando el

AndroidManifest.xml archivo que hemos recuperado anteriormente, podemos ver que

org.mozilla.firefox.App se define como un alias para web.mozilla.gecko.BrowserApp
actividad y que tiene varios filtros intencin (un intento debemos cumplir con al menos
un filtro con el fin de iniciar la actividad).

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

6/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

ejecutar app.activity.start componente z org.mozilla.firefox org.mozilla.firefox.App

-action android.intent.action.VIEW -Categora android.intent.category.DEFAULT data-uri http://securitycafe.ro (http://securitycafe.ro/) a comenzar una actividad.

Como resultado, Firefox abre una nueva pestaa en el dispositivo mvil y navegar a un
sitio web realmente genial.

Entonces qu paso? El cuento es que Drozer agente, una aplicacin sin permisos
especiales instalados en nuestro dispositivo mvil, puede iniciar actividades que se
exportaron por otras aplicaciones. Y esto es slo la punta del iceberg.

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

7/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Es importante entender que cualquier otra aplicacin por ah puede iniciar una
Intencin de esta manera, no slo Drozer. Si desea probar por ti mismo y crear una
aplicacin de Android sencillo que inicia una intencin, aqu est el cdigo equivalente
para la sintaxis Drozer utilizado anteriormente:

Qu pasa si la actividad requiere permisos

especiales para iniciarse?
Si la actividad est protegida de uno de los permisos listados aqu
(http://developer.android.com/reference/android/Manifest.permission.html) ,
entonces podemos construir nuestro propio agente Drozer con permisos extendidos.
No es imposible para aplicaciones de malware que se instalan con permisos
extendidos, la mayora de los usuarios aceptan ninguna solicitud de permiso sin
leerlos.
Como un pequeo desvo, considero sistema de permisos de Android para estar roto.
He aqu un ejemplo (los permisos requeridos por una de las ms utilizadas Linterna
aplicaciones desde Play Store):

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

8/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

En caso de una linterna de ser capaz de tomar fotos y videos con mi cmara? No. En
caso de una linterna capaz de descargar datos desde Internet? No. Debo permitir que
una linterna para tener acceso completo a la red? No. Debo permitir que una linterna
para modificar la configuracin de mi sistema? Por supuesto que no.
Eso es slo un ejemplo, pero ilustra muy bien cmo no se puede saber si una aplicacin
es inofensivo o no, a juzgar slo por los permisos que requiere. As pues, si una
aplicacin de linterna se instala en ms de 100.000.000 dispositivos con permisos
ampliados, entonces es seguro asumir que el malware conseguir instalado en el
dispositivo de la vctima con algunos permisos; se vera sospechoso si la aplicacin de
malware no requerira ningn permiso en absoluto.
Volver a nuestra meta, podemos construir un Agente Drozer con permisos especficos
utilizando la instancia Drozer de nuestro ordenador: agente drozer.bat construir permission "android.permission.SOMETHING"

f instalamos el Agente Drozer de nueva construccin en nuestro dispositivo mvil, nos

daremos cuenta de que requiere los permisos adicionales.

Despus de instalar el nuevo Agente Drozer, podemos seguir los mismos pasos que se
describen en este artculo, para iniciar una actividad que requiere permisos
especficos.
http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

9/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Conclusiones
Al final, me gustara sealar que Android cuenta con un modelo de seguridad compleja
y, a veces, la complejidad es el peor enemigo de la seguridad. Teniendo en cuenta
todas las interacciones que son posibles entre aplicaciones, debemos probar a fondo la
seguridad de las aplicaciones que construimos. Es mejor prevenir que curar!
Apyanos, Share this:

(http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/?share=twitter&nb=1)17
(http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/?share=facebook&nb=1)97
(http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/?share=googleplus
1&nb=1)

Relacionados

Ms de 600 millones de
dispositivos Samsung S
abierto a hackear (+ Video
Tutorial)
(http://terminatio.org/morethan-600-million-samsung-sdevices-open-to-hacktutorial-video/)
18/06/2015
En "Noticias"

Hack Gmail usando mvil!

(http://terminatio.org/hackgmail-using-mobile/)
22/06/2015
En "Noticias"

Hack Android Bloqueo del

telfono Patrn Sin Factory
Reset
(http://terminatio.org/hackandroid-phone-lock-patternwithout-factory-reset/)
05/02/2015
En "Tutoriales"

Deja una Respuesta:

Your Name

Email

Website

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

10/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Message

PUBLICAR COMENTARIO
Notifiqueme de seguimiento de los comentarios por correo electrnico.
Notifcame de nuevas entradas por e-mail.

Anuncios

ltimos Mensajes
[E-Book] Hackear: el arte de la explotacin | Por Jon Erickson | (http://terminatio.org/e-bookhacking-the-art-of-exploitation-by-jon-erickson/)
Ataque de fuerza bruta usando HYDRA [Tutorial] (http://terminatio.org/brute-force-attack-usinghydra/)
Hervesting datos: Una introduccin a la medicina forense automatizados con extractor mayor
[Tutorial] (http://terminatio.org/hervesting-data-an-introduction-to-automated-forensics-withbulk-extractor/)
Pentest Herramienta Arsenal [Infografa] (http://terminatio.org/pentest-tool-arsenalinfographic/)
Cmo crack nmeros de tarjetas de crdito [Tutorial completo] (http://terminatio.org/how-tocrack-credit-card-numbers-complete-tutorial/)

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

11/12

26/7/2015

MobilePruebasdePenetracinEnAndroidUsandoDrozer[DESCARGAR+TUTORIAL]|DENUNCIA

Anuncios

Copyright 2015 DENUNCIA. Todos Los Derechos Reservados.

(https://www.facebook.com/Terminatio.Org)
(https://twitter.com/TerminatioOrg)
(https://www.youtube.com/c/TerminatioOrgOfficial)
(https://plus.google.com/+TerminatioOrgOfficial)

http://terminatio.org/mobilepenetrationtestingonandroidusingdrozer/

12/12