Mobile AppSec World

Public

Просмотреть канал

Не можете присоединиться? @mobile_appsec_world

7.6k Участники

Обновлено: May 6, 2026 at 11:32 AM

Mobile AppSec World

Новости из мира безопасности мобильных приложений, а так же интересные статьи, обзоры инструментов, доклады, митапы и многое другое... По всем вопросам - @Mr_R1p

@mobile_appsec_world is a growing community focused on mr_r1p and related topics

Рейтинг

Глобальный рейтинг

#456

Рейтинг по языку

#45

Рейтинг по категории

#23

-1

Рост участников (Последние 3 дней)

Всего: 7.6K

Рост за 24ч: +0 0%

Последние посты

Mobile AppSec World

25 апр. 2026 г., 16:13

Привет всем!

Завтра выступаю на конфе, подключайтесь :)

1,540

Mobile AppSec World

25 апр. 2026 г., 16:13

SSL pinning bypass setup for iOS (No Jailbreak) using OpenVPN + iptables traffic redirection to proxy (Burp Suite / mitmproxy)
https://github.com/SahilH4ck4you/iOS-SSL-pinning-bypass-without-jalibreak

1,750

Mobile AppSec World

25 апр. 2026 г., 16:13

Кстати говоря, несмотря на то, что сейчас многие вопросы можно задать нейронке и получить ответ, все равно остается главная задача - а что спросить :)

И на самом леле очень хорошо, что есть каналы доя молодых специалистов, где рассказывают основы и постепенно уходят дальше, говорят о том, как начать, база от которой можно отталкиваться.

Поэтому у меня тоже иногда выходят посты про простые вещи, они тоже нужны многим.

И следующий пост будет как раз про такой канал

2,020

Mobile AppSec World

25 апр. 2026 г., 16:13

📷 Photo

🔐 Кибербезопасность без воды — практика пентеста и подходы из red team.

Здесь ты не просто читаешь — ты начинаешь думать как пентестер.

📚 Что есть на канале:

— простое объяснение сложных тем (XSS, IDOR, CSRF, AD)
— реальные кейсы из bug bounty
— чек-листы и практические разборы
— викторины и задачи для прокачки мышления
— https://t.me/cybervacancies_channel
— https://t.me/pentesting_channel_chat

🧠 Формируем не просто знания, а подход к пентесту

Подойдёт если ты:
— только начинаешь
— уже в теме и хочешь системности
— интересуешься кибербезопасностью

👉 https://t.me/pentesting_channel и прокачивайся вместе с нами

Mobile AppSec World

25 апр. 2026 г., 16:13

Runtime hooking и обход SSL Pinning на iOS

Ребята, есть вопрос, как обойти SSL Pinning в iOS? Ребята из RedFox Security выпустили https://academy.redfoxsec.com/blog/runtime-manipulation-hooking-and-ssl-pinning-bypass-ios-pentesting-guide по runtime manipulation и hooking в контексте iOS-пентеста, и он получился весьма добротным.

Внутри - разбор того, как работает hooking в Objective-C/Swift рантайме, как цеплять методы через Frida и objection, обход SSL pinning на jailbroken устройствах (SSLKillSwitch и компания). Всё расписано с примерами и пояснениями, что именно происходит под капотом при перехвате TLS-проверок. Плюс есть раздел про hardening и рекомендации из MASVS/MSTG, то есть статья полезна не только для атакующей стороны, но и для тех, кто боится включать пиннинг, потому что сертификат рано или поздно протухнет.

Как по мне, хороший материал для тех, кто начинает копаться в iOS-пентесте или хочет систематизировать информацию. Опытные ребята вряд ли найдут что-то принципиально новое, но как справочник -- вполне.

#iOS #Pentest #SSLPinning #Frida #Hooking

2,360

Mobile AppSec World

25 апр. 2026 г., 16:13

iOSCTF: 30 задач для практики iOS-пентеста

С тренировочными площадками для iOS всегда было туго - DVIA да пара заброшенных репозиториев, и на этом всё. Так что появление https://github.com/quixottte/iOSCTF - прям приятная новость.

Это open-source приложение с 30 задачами по iOS security, разбитыми на 4 категории: от чтения секретов в NSUserDefaults и дампа Keychain до эксплуатации JS-бриджей через deep links, хукинга ObjC-рантайма и memory forensics. Есть даже JWT cracking и задачи на SSL pinning bypass. В общем, покрывает приличный кусок того, с чем сталкиваешься при реальном анализе мобилок.

Есть готовый IPA для sideload (через AltStore, TrollStore и компанию), не обязательно собирать из исходников, хотя Xcode-проект тоже есть. Для части задач нужен companion server, что добавляет реализма. Ну и jailbroken устройство для полного набора задач рекомендуется (было бы странно, если бы нет).

Забавно, что автор в описании благодарит Claude за помощь в создании -- видимо, AI-ассистенты теперь не только код пишут, но и уязвимые приложения помогают делать, и как правило не только специально для CTF 😄

Как по мне, шикарная штука для тех, кто хочет покопаться в iOS security на практике, а не только читать про это в книжках. Особенно радует, что появляется что-то новое)

#iOS #CTF #Pentest #Security #Tools

3,370

Mobile AppSec World

25 апр. 2026 г., 16:13

С возвращением!

Я очень давно ничего не писал в канал и немного подзабыл, как это делается) Было очень много крайне интересных и поглотивших меня задач на работе, но теперь я стал находить время на разбор скопившихся материалов и начинаю вас радовать (надеюсь) свеженькими (и не очень) статьями и новостями по мобилкам!

Ну и да, так как я немного расширил свою специализацию еще и на AI-технологии разные, то оживет и второй канал - https://t.me/ai_she4ka ( https://t.me/ai_she4ka), где контент будет похожий (новости, статьи, тулы, подборки и так далее), только уже из мира безопасности ИИ-систем. То есть тоже самое, но уже про ИИ, надеюсь вам тоже понравится.

Так что с возвращением, очень рад вас всех видеть и читать!

И немного запоздало, но все таки - хорошего всем года)))

2,010

Mobile AppSec World

25 апр. 2026 г., 16:13

AWAKE: справочник по Android-атакам и эксплуатации

Нашел оооочень классный ресур - https://zahidaz.github.io/awake/ - по сути, one-stop shop для тех, кто занимается анализом малвари, реверсингом и поиском уязвимостей на Android.

Внутри -- описания техник атак, эксплойтов, методики анализа APK и самой платформы. Ориентировано на аналитиков, реверсеров, пентестеров и threat intelligence ресерчеров. То есть не абстрактная теория, а вполне практический справочник с конкретикой. Что мне понравилось -- подход "offense-first". Всё собрано с точки зрения атакующего, а не защитника. Для нас, тех кто занимается анализом защищённости мобилок, это прям то, что нужно: понимать, как атакуют, чтобы понимать, от чего защищать. Ну и как справочник для собственных ресерчей -- самое оно!

Как по мне, отличное дополнение к уже знакомым OWASP MSTG и MASVS. Рекомендую добавить в закладки, все очень структурированно и достаточно "свежо"!

#Android #Malware #Research #Security #Exploitation

2,220

Mobile AppSec World

25 апр. 2026 г., 16:13

Prompt injection -> supply chain: как AI-бот скомпрометировал 4000 разработчиков

Занятная и пугающая история про то, как prompt injection через заголовок GitHub issue превратился в полноценную supply chain атаку. https://grith.ai/blog/clinejection-when-your-ai-tool-installs-another читается как сценарий триллера, только всё по-настоящему.

Суть: в репозитории использовался claude-code-action от Anthropic для автоматической обработки issue. Конфигурация была с allowed_non_write_users: "*" (то есть кто угодно может триггернуть бота), а заголовок issue подставлялся без санитизации через ${{ github.event.issue.title }}. Атакующий просто создал issue с вредоносным промптом в заголовке - и бот послушно выполнил команду 😅

Дальше цепочка красивая: бот установил пакет из typosquatted-репозитория (glthub-actions/cline вместо github-actions), в пакете preinstall-скрипт развернул Cacheract для отравления кэша GitHub Actions (~10 GB). При восстановлении кэша утекли NPM_RELEASE_TOKEN, VSCE_PAT и OVSX_PAT. С этими токенами атакующие опубликовали троянизированный [email protected] с postinstall, который за 8 часов разъехался на ~4000 машин разработчиков.

Как по мне, это прекрасная иллюстрация того, что AI-агенты в CI/CD -- это не просто "удобная автоматизация", а новая поверхность атаки, которую мы толком ещё не научились защищать. Prompt injection тут выступает как начальный вектор, а дальше классика -- отравление кэша, кража секретов, supply chain compromise.

Статья хорошо написана, с деталями каждого этапа и рекомендациями. Очень рекомендую почитать, особенно если у вас AI-боты интегрированы в pipeline :)

#Security #SupplyChain #AI #GitHub #PromptInjection

1,710

Mobile AppSec World

25 апр. 2026 г., 16:13

Перехват OkHttp трафика на Android через Frida

Кто хоть раз пытался перехватить трафик Android-приложения, которое шифрует тело запроса или подписывает его кастомным хедером, знает эту боль -- ты видишь запрос в прокси, но там каша из зашифрованных байт, и толку от этого ноль :)

Ребята из Doyensec написали https://blog.doyensec.com/2026/01/22/frida-instrumentation.html о том, как с помощью Frida хукать OkHttp на уровне Interceptor-цепочки. Суть проблемы в том, что запрос в OkHttp проходит через серию интерсепторов -- один добавляет Authorization, другой считает подпись, третий шифрует тело. Если хукнуть только финальный вызов, увидишь уже зашифрованный блоб. Если хукнуть до интерсепторов -- не увидишь реальные хедеры. Решение -- цепляться к RealCall и RealInterceptorChain.proceed, чтобы перехватить запрос на каждом этапе мутации. По сути, получаешь и исходный JSON, и то, что реально уходит в сеть.

В статье подробно расписаны скрипты для Frida с вспомогательными функциями для дампа содержимого Request/Response на каждом шаге. Всё с примерами кода, можно брать и адаптировать под свой кейс. Как по мне, статья будет особенно полезна тем, кто анализирует приложения с кастомной защитой API -- когда SSL Pinning уже обошёл, а трафик всё равно нечитаемый из-за шифрования на уровне приложения. Рекомендую покопаться 🤓

#Android #Frida #OkHttp #Research #Tools

1,860

Showing 10 of 10 posts

No more posts

Рейтинг

Требуется вход

Отзывы пользователей (0)

Пока нет отзывов. Будьте первым, кто поделится своим опытом!

Mobile AppSec World

Mobile AppSec World

Рейтинг

Рост участников (Последние 3 дней)

Последние посты

Рейтинг

Отзывы пользователей (0)

Похожие каналы Telegram

Магнит Доставка

ПЕРЕХОДНИК 🥘

In-App: Блог про мобильный маркетинг

Tooba: помогать легко 🌱

Медуза — LIVE

Rocket10 — AdTech Агентство Мобильного Маркетинга

Андроид программы, описание, модификации

APK Hub

Похожие каналы Telegram

Магнит Доставка

ПЕРЕХОДНИК 🥘

In-App: Блог про мобильный маркетинг

Tooba: помогать легко 🌱

Медуза — LIVE

Rocket10 — AdTech Агентство Мобильного Маркетинга

Андроид программы, описание, модификации

APK Hub

Отзывы пользователей (0)

Последние посты