Teste de Penetração em Aplicativos Móveis

Quando Usar

• Testar aplicativos móveis antes do lançamento para identificar vulnerabilidades de segurança e problemas de proteção de dados
• Realizar avaliações de conformidade com os níveis L1 e L2 do OWASP MASVS (Mobile Application Security Verification Standard)
• Avaliar a segurança de aplicativos bancários, de saúde ou governamentais móveis que lidam com dados sensíveis
• Testar aplicativos móveis que interagem com APIs de backend para avaliar a segurança de ponta a ponta do ecossistema móvel
• Avaliar a resistência de aplicativos móveis à engenharia reversa, adulteração e manipulação em tempo de execução

Não use contra aplicativos móveis sem autorização por escrito do proprietário do aplicativo, para distribuir aplicativos modificados ou reempacotados, ou para testar aplicativos nas lojas de aplicativos públicas sem uma build de teste separada.

Pré-requisitos

• Arquivos IPA (iOS) e APK (Android) do aplicativo alvo ou acesso para download de um canal de distribuição privado
• Dispositivo Android com root ou emulador (Genymotion, AVD do Android Studio) com Frida, Objection e Magisk instalados
• Dispositivo iOS com jailbreak ou dispositivo virtual Corellium com Frida, Objection e SSL Kill Switch instalados
• Ferramentas de análise estática: jadx (descompilação Android), Hopper/Ghidra (análise binária iOS), MobSF (escaneamento automatizado)
• Burp Suite Professional configurado como proxy para interceptar tráfego de aplicativos móveis com certificado CA instalado no dispositivo de teste

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão por escrito para testar é ilegal e pode violar leis de fraude computacional.

Fluxo de Trabalho

Etapa 1: Análise Estática

Analise o binário do aplicativo sem executá-lo:

Análise Estática Android:

• Descompile o APK: jadx -d output/ target.apk para obter o código-fonte Java/Kotlin
• Revise AndroidManifest.xml para componentes exportados (atividades, serviços, receptores, provedores de conteúdo), permissões e flag de depuração
• Procure por segredos codificados: grep -rn "api_key\|password\|secret\|token\|aws_" output/
• Identifique padrões de armazenamento de dados inseguros: SharedPreferences com dados sensíveis, bancos de dados SQLite sem criptografia, arquivos no armazenamento externo
• Verifique vulnerabilidades de WebView: setJavaScriptEnabled(true), addJavascriptInterface() e carregamento de conteúdo não confiável
• Execute o escaneamento automatizado do MobSF: python manage.py runserver e carregue o APK para análise estática automatizada

Análise Estática iOS:

• Extraia o IPA e localize o binário Mach-O
• Use otool -L <binary> para listar frameworks vinculados e identificar bibliotecas de terceiros
• Analise com Ghidra ou Hopper para URLs codificadas, endpoints de API e credenciais incorporadas
• Verifique o Info.plist em busca de exceções do App Transport Security (ATS) que permitem conexões HTTP inseguras
• Revise os entitlements incorporados em busca de capacidades excessivas

Etapa 2: Teste de Segurança de Rede

Intercepte e analise todas as comunicações de rede:

• Configure o Burp Suite como proxy no dispositivo de teste e instale o certificado CA do Burp
• Execute toda a funcionalidade do aplicativo enquanto o Burp captura o tráfego da API
• Validação SSL/TLS: Verifique se o aplicativo valida corretamente os certificados do servidor. Se o aplicativo falhar ao se conectar através do proxy, ele pode implementar certificate pinning.
• Bypass de certificate pinning:
  • Android: Use script Frida: frida -U -f com.target.app -l ssl-pinning-bypass.js --no-pause
  • iOS: Use SSL Kill Switch ou Objection: objection -g "Target App" explore --startup-command "ios sslpinning disable"
• Análise de tráfego de API: Revise todas as chamadas de API para:
  • Dados sensíveis transmitidos sem criptografia
  • Tokens de autenticação em parâmetros de URL (visíveis em logs)
  • Dados excessivos em respostas de API além do que a UI exibe
  • Autenticação ausente ou fraca em endpoints de API
• WebSocket e protocolos personalizados: Verifique canais de comunicação não HTTP que podem contornar a interceptação de proxy padrão

Etapa 3: Análise de Armazenamento de Dados

Teste o armazenamento de dados local inseguro:

Armazenamento de Dados Android:

• Acesse o diretório de dados do aplicativo: /data/data/com.target.app/
• Verifique arquivos XML do SharedPreferences em busca de credenciais armazenadas, tokens e PII
• Examine bancos de dados SQLite: sqlite3 /data/data/com.target.app/databases/*.db ".dump"
• Verifique dados sensíveis nos logs do aplicativo: logcat -d | grep -i "password\|token\|key"

…