objectioné um kit de ferramentas de exploração móvel em tempo de execução, desenvolvido pela Frida . Foi construído com o objetivo de ajudar a avaliar aplicativos móveis e sua postura de segurança sem a necessidade de um dispositivo móvel desbloqueado ou enraizado. Nota: Esta não é uma forma de desvio de jailbreak / root. Ao usar
objection, você ainda está limitado por todas as restriçõesimpostas pelo sandbox aplicável que está enfrentando.Recursos
Suportando iOS e Android e tendo novos recursos e aprimoramentos adicionados regularmente à medida que a ferramenta é usada em cenários do mundo real, segue uma pequena lista de apenas alguns recursos principais:
Para todas as plataformas suportadas,
objectionpermite:- Aplicativos iOS e Android patch, incorporando um gadget Frida que pode ser usado com
objectionou apenas Frida em si. - Interaja com o sistema de arquivos, listando entradas, bem como arquivos de upload e download, quando permitido.
- Execute várias tarefas relacionadas à memória, como listar módulos carregados e suas respectivas exportações.
- Tente contornar e simular ambientes com jailbreak ou raiz.
- Descubra classes carregadas e liste seus respectivos métodos.
- Execute desvios comuns de fixação de SSL.
- Dinamicamente despejar argumentos de métodos chamados quando você usa o aplicativo de destino.
- Interaja com bancos de dados SQLite inline sem a necessidade de baixar o banco de dados de destino e usar uma ferramenta externa.
- Execute scripts personalizados da Frida.
objectionincluem a capacidade de:- Descarregue o keychain do iOS e exporte-o para um arquivo.
- Dados de despejo de armazenamento comum, como NSUserDefaults e o NSHTTPCookieStorage compartilhado.
- Despeje vários formatos de informação em formas legíveis por humanos.
- Ignorar certas formas de restrições de TouchID.
- Observe as execuções de método, segmentando todos os métodos em uma classe ou apenas um método único.
- Monitore a área de trabalho do iOS.
- Despeje
.plistarquivos codificados em um formato legível sem depender de analisadores externos.
objectionincluem a capacidade de:- Listar as aplicações Receptores de Atividades, Serviços e Broadcast.
- Inicie as Atividades arbitrárias disponíveis no aplicativo de destino.
- Assista a um método de classe, relatando a execução como acontece.
screenshots
As capturas de tela a seguir mostram a
objectionreplprincipal, conectada a um aplicativo de teste em um iPad executando o iOS 10.2.1 e o Samsung Galaxy S5 executando o Android 6.Uma listagem do sistema de arquivos do pacote principal de aplicativos iOS
Uma listagem do sistema de arquivos do pacote de aplicativos do Android
O iOS Keychain foi lançado para o aplicativo atual e, posteriormente, gravado em um arquivo chamado
keychain.json
Ferramenta de consulta SQLite Inline
Bypass de fixação de SSL em execução para um aplicativo iOS
Bypass de fixação de SSL em execução para um aplicativo Android
Uso da API para listar o compartilhamento compartilhado do iOSHTTPCookieStorage
uso de amostra
Uma sessão de amostra, em que a
Uma sessão de amostra, em que a
objectionversão 0.1 é usada para explorar o ambiente de aplicativos. As versões mais recentes têm o prompt REPL configurado para o nome atual dos aplicativos, no entanto, o uso permaneceu o mesmo: 
pré-requisitos
Para executar
objection, tudo o que você precisa é que o interpretador python3 esteja disponível. A via de instalaçãopipdeve cuidar de todas as dependências necessárias. Para mais detalhes, consulte aseção de pré - requisitos no wiki do projeto. Quanto aos aplicativos móveis de destino, no entanto, para iOS, um IPA não criptografado é necessário e o Android apenas o APK normal deve ser bom. Se você tiver o código-fonte do aplicativo iOS que deseja explorar, basta incorporar e carregar o
FridaGadget.dylibde dentro do projeto Xcode. instalação A
instalação é simplesmente uma questão de
pip3 install objection. Isso lhe dará oobjectioncomando. Para instruções mais detalhadas de atualização e instalação, por favor, consulte a página wiki aqui.
Baixar Objection v1.6.6 - Runtime Mobile Exploration
