ios-redteam-pipeline

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas para leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Quando usar esta habilidade

Ative quando:

• Reconnaissance encontrar 1+ aplicativos na página do editor Apple Developer / App Store do alvo
• Um link público do TestFlight ou .ipa/manifest.plist empresarial/ad-hoc (instalação OTA) for encontrado
• Um aplicativo voltado para o cliente, portal de revendedores/parceiros ou aplicativo complementar móvel para funcionários for lançado no iOS
• O programa de recompensa por bugs listar o iOS como escopo
• apk-redteam-pipeline já encontrou endpoints/segredos Android — a compilação do iOS geralmente envia uma versão de backend diferente que vale a pena comparar (veja hunt-shadow-api)

NÃO use para:

• Alvos apenas Android — isso é apk-redteam-pipeline
• Aplicativos React Native / Flutter já totalmente cobertos por análise de bundle JS no lado da web
• Avaliações apenas do lado do servidor sem cliente móvel no escopo

Estágio 0 — Inventariar todos os aplicativos iOS de propriedade da organização

# App Store search API (no auth, no scraping needed)
curl -s "https://itunes.apple.com/search?term=<brand>&country=us&entity=software&limit=50" | python3 -m json.tool

# Pull the full metadata for a known bundle ID (once you have one)
curl -s "https://itunes.apple.com/lookup?bundleId=com.<brand>.app&country=us"

Extrair: trackId, bundleId, sellerName (conta de desenvolvedor — pivô para encontrar aplicativos irmãos), version, releaseNotes (changelogs frequentemente referenciam comportamento de API obsoleto/removido — alimenta hunt-shadow-api).

Cruzar referência IDs de bundle de aplicativos irmãos encontrados em inventários de APK Android (o mesmo conglomerado de várias marcas geralmente reutiliza a nomenclatura com.<corp>.<sub-brand> em ambas as plataformas).

Estágio 1 — Aquisição de IPA

Primário: de um dispositivo real que você controla (nenhum jailbreak necessário para um aplicativo comprado/gratuito)

# Install the app on a real device via Apple Configurator 2 or Xcode, then pull the .ipa
# Apple Configurator 2 (macOS): Devices > select device > right-click installed app > "Save to..."
# Or via libimobiledevice:
brew install libimobiledevice ideviceinstaller
ideviceinstaller -l              # list installed apps + bundle IDs

Secundário: TestFlight (se o programa distribuir betas publicamente)

Abra o link público do TestFlight, instale pelo aplicativo TestFlight e extraia como acima. As compilações do TestFlight são frequentemente MENOS protegidas do que os lançamentos da App Store (logging de depuração ativado, hosts de API de staging codificados — sempre prefira uma compilação do TestFlight em vez da compilação da Store se ambas existirem.

Terciário: distribuição empresarial / ad-hoc (instalação OTA)

# itms-services:// links embed a manifest.plist with a direct .ipa URL
curl -s "https://<target>/manifest.plist" | plutil -convert xml1 -o - -
# Look for <key>software-package</key> — that URL is a directly downloadable, unencrypted IPA
curl -sk -L "<software-package-url>" -o target.ipa

IPAs empresariais/ad-hoc não são criptografados com FairPlay — nenhum jailbreak ou ferramenta de descriptografia é necessário, ao contrário de um binário da App Store extraído de um dispositivo.

Descriptografando um binário de origem da App Store (apenas se extraído de um dispositivo com jailbreak)

Binários da App Store são criptografados com FairPlay em repouso; um binário copiado de um dispositivo com jailbreak precisa de descriptografia em tempo de execução (frida-ios-dump, bagbak ou flexdecrypt) antes que ferramentas estáticas possam lê-lo significativamente:

pip install --break-system-packages frida-tools
# with frida-server running on the jailbroken device and the app in foreground:
python3 dump.py <bundle_id>          # frida-ios-dump — outputs a decrypted .ipa

Estágio 2 — Descompactar e análise estática

# Um IPA é apenas um zip
unzip -o target.ipa -d extracted_target/
cd extracted_target/Payload/*.app

# Info.plist — bundle ID, esquemas de URL, configuração ATS, dica de entitlements
plutil -convert xml1 -o - Info.plist


…