Нашел сайт, куда выкладывают записи конференций по безопасности. Контента очень много и он регулярно обновляется. Проведите ближайший месяц с пользой 🦠

#conference

https://infocon.org/cons/

Многие уже слышали историю про “Социальный мониторинг”. Наткнулся на хабропост где разбираются основные проблемы. Если кто-то еще не вкурсе, то это отличный повод узнать что же произошло.

#reverse_engineering

https://habr.com/en/post/495606/

А подскажите в понимании Cleartext и HTTP/HTTPS
Сервер шлёт картинки с http линкой.
Мне пришлось включить android:usesCleartextTraffic="true"
Какие проблемы это может принести в плане безопасности (все другие запросы https, а картинки http потому как "этому функционалу много лет, не будем менять там ничего")

Можно задать конфиг, в котором прописать домен, в который можно по хттп ходить

Увы, не получится из-за специфики проекта. Там урла любая может быть, клиенту свой хост дают и только при логине через main я получаю url хоста

Поэтому и переживаю за безопасность

cSploit из коробки позволяет подменять изображения. Запустит какой-то умник из одной сети и будут вместо картинок жопы 😁

А если cleartext будет выключен, то не получится?)

Т.е нельзя попросить их сделать один проксирующий домен, который будет сам ходить по http? Адрес передавать как параметр. Это не сложно сделать

А если выключен, то по http ничего не откроется

Неа, никак. Там что то сложное, бэк не хочет ничего трогать)

А его трогать не надо

Оставить старый бек как есть, добавить отдельный прокси

Ну мне сказали что ничего делать не хотят)

Хочу знать, почему виноваты они и чтоб все знали)

Ну... Например: https://github.com/marcinguy/android-7-9-png-bug

Спасибо)

Самоизоляция продолжается, а вместе с ней нарастает скука. Чтобы как-то вас развлечь, я хочу предложить решить crackme начального уровня. Закаленным в боях реверсерам и ctf-ерам он может показаться скучным, но кто знает, может и для вас найдется над чем подумать.

Задача: у вас есть apk файл crackme1.apk (контрольная сумма: 93baa133485e8d1fb069effd4528c0a4b2acef69), который содержит 5 ключей. Нужно их найти. Проверить правильность ключа можно у бота: @android_guards_crackme_bot

Если история зайдет, то сделаю crackme посложнее. Всем хороших выходных! 😉

#reverse_engineering, #just4fun

О