Seminar MobSF iOS Static Analysis

Seminarprofil

Das Seminar führt durch die statische Sicherheitsanalyse von IPA-Dateien und iOS-Quellcode mit MobSF. Untersucht werden Bundle-Struktur, Info.plist, Berechtigungen, ATS, URL-Schemata, Binärschutz, eingebettete Frameworks, Swift- und Objective-C-Code, Geheimnisse und Datenschutzindikatoren. Die automatische Analyse wird mit manueller Plausibilisierung und klaren Folgetesthypothesen verbunden.

Inhaltsübersicht

• Artefakt und Bundle-Struktur
• Info.plist, Entitlements und Datenzugriffe
• ATS und Kommunikationssicherheit
• Mach-O und eingebettete Komponenten
• Codebefunde, Geheimnisse und Bericht

Lernziele

• iOS-Artefakte korrekt vorbereiten und Scanqualität beurteilen
• Plist-, Berechtigungs-, ATS-, Binär-, Framework- und Codebefunde einordnen
• False Positives und umgebungsbedingte Analysegrenzen erkennen
• statische Befunde in konkrete dynamische Prüfhypothesen überführen

Seminarinhalte

Modul 1: Artefakt und Bundle-Struktur

1. Schritt 1: IPA, App-Bundle, Framework und Quellcodearchiv nach Analyseziel unterscheiden.
2. Schritt 2: Bundle-ID, Version, Signaturkontext und Prüfsumme dokumentieren.
3. Schritt 3: Hauptbinärdatei, Extensions, Frameworks und Ressourcen im Paket lokalisieren.
4. Schritt 4: Scanprotokoll auf Extraktions- und Parserfehler prüfen.

Modul 2: Info.plist, Entitlements und Datenzugriffe

1. Schritt 1: URL-Schemata, Dokumenttypen, Hintergrundmodi und erlaubte Abfragen auswerten.
2. Schritt 2: Entitlements, Schlüsselbundgruppen, App-Gruppen und Berechtigungen bewerten.
3. Schritt 3: Privacy Usage Descriptions auf Vollständigkeit und Zweckbindung prüfen.
4. Schritt 4: Unnötige Fähigkeiten und unerwartete Datenzugriffe als Folgetest markieren.

Modul 3: ATS und Kommunikationssicherheit

1. Schritt 1: Globale und domänenspezifische ATS-Ausnahmen identifizieren.
2. Schritt 2: Ausnahmen nach Zweck, Reichweite und möglicher Klartext- oder TLS-Abschwächung bewerten.
3. Schritt 3: Endpunkte, Zertifikatsbezüge und Netzwerkbibliotheken im Codekontext suchen.
4. Schritt 4: Hypothesen für Proxy-, Pinning- und Backend-Tests formulieren.

Modul 4: Mach-O und eingebettete Komponenten

1. Schritt 1: Architekturen, Verschlüsselung und grundlegende Binärschutzmerkmale prüfen.
2. Schritt 2: Debug-Symbole, Stack-Schutz, ARC und auffällige Importfunktionen bewerten.
3. Schritt 3: Frameworks und Dylibs auf Herkunft, Schutz und verdächtige Funktionalität untersuchen.
4. Schritt 4: Analysegrenzen bei gepackten oder stark verschleierten Komponenten dokumentieren.

Modul 5: Codebefunde, Geheimnisse und Bericht

1. Schritt 1: Swift- und Objective-C-Befunde nach tatsächlichem Aufrufkontext verifizieren.
2. Schritt 2: Schlüssel, Tokens, Endpunkte, Logging und unsichere Speicherpfade prüfen.
3. Schritt 3: Befunde nach Exposition und realistischer Ausnutzbarkeit priorisieren.
4. Schritt 4: Statische Nachweise, offene Fragen und dynamische Folgetests in einem Bericht zusammenführen.

Praxisübungen

• Statischer Scan einer iOS-Trainingsanwendung
• Manuelle Verifikation von Plist-, ATS-, Entitlement- und Mach-O-Befunden
• Ableitung eines dynamischen Testplans aus statischen Hypothesen

Zielgruppe

iOS-Entwickler, Mobile Security Analysts, AppSec-Teams, Code Reviewer und Penetration Tester.

Vorkenntnisse

Grundkenntnisse der iOS-App-Struktur, Swift oder Objective-C und allgemeiner Anwendungssicherheit. MobSF-Vorkenntnisse sind nicht zwingend.