#ssl_pinning — Public Fediverse posts
Live and recent posts from across the Fediverse tagged #ssl_pinning, aggregated by home.social.
-
Как веб-специалисту начать пентест API мобильного приложения и не сломать макбук
Я активный участник программ Bug Bounty и достаточно часто смотрю не только веб-приложения, но и мобильные приложения, чтобы определить все конечные точки API сервиса и попробовать найти баг в функционале до которого не всегда просто добраться. А почему непросто? Потому что в мобильных приложениях часто встречается SSL Pinning, который не дает перехватывать трафик, а поэтому анализ API приложения становится более сложным. В этой статье я изложу: 1. Как отключить SSL Pinning и получить возможность внедряться в процессы iOS приложений. 2. Как отключить SSL Pinning и внедриться в Android приложение без наличия смартфона на одноименной ОС.
-
Перехват трафика мобильных приложений
Часто случается так что на необходимом сайте установлена защита от ботов. Например: QRATOR, Cloudflare, Akamai Bot Manager и пр. Можно потратить множество ресурсов на обход этих систем, но если у вашего ресурса есть мобильное приложение, то можно пойти другим путём. В подавляющем большинстве случаев мобильное приложение остается без защиты т.к. методы актуальные в браузерной разработке в мобильной не актуальны. В этой статье мы совершим атаку MITM на приложение [скрыто], узнаем эндпоинты по которым приложение получает данные и получим данные сами.