Seminar MobSF Mobile App Penetration Testing

Seminarprofil

Dieses viertägige Seminar bildet einen vollständigen, autorisierten Mobile-App-Penetrationstest mit MobSF ab. Statische Android- und iOS-Analysen, dynamische Tests, Laufzeitinstrumentierung, Netzwerk- und API-Prüfungen, manuelle Verifikation und Reporting werden zu einem konsistenten Vorgehen verbunden. Vier Tage sind notwendig, weil beide Plattformen, Laboraufbau und belastbare Nachweise praktisch bearbeitet werden.

Inhaltsübersicht

• Auftragsklärung und Testdesign
• Statische Android-Analyse
• Statische iOS-Analyse
• Dynamische Android-Tests
• Dynamische iOS-Tests
• Backend-, API- und Geschäftslogikbezug
• Befundkonsolidierung und Bericht

Lernziele

• einen Mobile-App-Penetrationstest risikobasiert planen und abgrenzen
• MobSF für statische und dynamische Android- und iOS-Prüfungen zielgerichtet einsetzen
• automatische Befunde durch manuelle Tests und Instrumentierung verifizieren
• technische Nachweise, Risiko und Abhilfen in einem professionellen Bericht zusammenführen

Seminarinhalte

Modul 1: Auftragsklärung und Testdesign

1. Schritt 1: Scope, App-Versionen, Plattformen, Backend-Zugänge und erlaubte Testhandlungen festlegen.
2. Schritt 2: Testdaten, Konten, Rollen und kritische Geschäftsprozesse erfassen.
3. Schritt 3: Bedrohungen für lokale Daten, Kommunikation, Plattformintegration und Backend priorisieren.
4. Schritt 4: Beweisführung, Kommunikationswege und Abbruchkriterien vereinbaren.

Modul 2: Statische Android-Analyse

1. Schritt 1: Manifest, Berechtigungen, Komponenten und Deep Links untersuchen.
2. Schritt 2: SAST-, Geheimnis-, Kryptografie- und WebView-Befunde verifizieren.
3. Schritt 3: Signatur, Ressourcen, native Bibliotheken und Abhängigkeiten bewerten.
4. Schritt 4: Dynamische Android-Testfälle aus den statischen Hypothesen ableiten.

Modul 3: Statische iOS-Analyse

1. Schritt 1: Bundle, Info.plist, Entitlements und Datenschutzangaben prüfen.
2. Schritt 2: ATS, URL-Schemata, Frameworks und Mach-O-Schutzmerkmale bewerten.
3. Schritt 3: Swift- und Objective-C-Befunde sowie Geheimnisse im Kontext verifizieren.
4. Schritt 4: Dynamische iOS-Testfälle und benötigte Laborbedingungen festlegen.

Modul 4: Dynamische Android-Tests

1. Schritt 1: Testgerät anbinden, App installieren und reproduzierbaren Ausgangszustand herstellen.
2. Schritt 2: Komponenten, lokale Speicherung, Logs und Laufzeitdaten prüfen.
3. Schritt 3: Proxy- und Frida-gestützte Netzwerk- sowie Pinning-Tests durchführen.
4. Schritt 4: Schutzmechanismen und beobachtete Schwachstellen mit Negativtests verifizieren.

Modul 5: Dynamische iOS-Tests

1. Schritt 1: Unterstützte iOS-Testumgebung, SSH, Proxy und Instrumentierung vorbereiten.
2. Schritt 2: Sandbox, Schlüsselbundnutzung, lokale Dateien und Laufzeitprotokolle untersuchen.
3. Schritt 3: URL-Schemata, WebViews, Netzwerkverkehr und Zertifikatsprüfungen testen.
4. Schritt 4: Gerätezustand und Umgebungsabhängigkeit in der Befundbewertung berücksichtigen.

Modul 6: Backend-, API- und Geschäftslogikbezug

1. Schritt 1: Aus mobilem Verkehr relevante API-Endpunkte und Authentifizierungsflüsse erfassen.
2. Schritt 2: Token-Lebenszyklus, Autorisierung und sensible Parameter auf mobile Angriffspfade prüfen.
3. Schritt 3: Clientseitige Kontrollen von serverseitiger Durchsetzung unterscheiden.
4. Schritt 4: Nur freigegebene API- und Geschäftslogiktests durchführen und sauber begrenzen.

Modul 7: Befundkonsolidierung und Bericht

1. Schritt 1: Doppelte statische und dynamische Hinweise zu einem Befund zusammenführen.
2. Schritt 2: Reproduktionsweg, Belege, Auswirkung und betroffene Version dokumentieren.
3. Schritt 3: Risiko nach Ausnutzbarkeit und Geschäftsrelevanz priorisieren.
4. Schritt 4: Abhilfen, Nachtest und verbleibende Prüflücken eindeutig formulieren.

Praxisübungen

• Durchführung eines vollständigen Android-Teststrangs von Scope bis Befund
• Durchführung eines vollständigen iOS-Teststrangs in vorbereiteter Laborumgebung
• Konsolidierung statischer, dynamischer und Netzwerkbelege zu einem Abschlussbericht

Zielgruppe

Mobile Penetration Tester, AppSec Engineers, Security Consultants und erfahrene mobile Entwickler mit Prüfverantwortung.

Vorkenntnisse

Fundierte Kenntnisse in Anwendungssicherheit, HTTP/TLS, Android oder iOS sowie Grundpraxis mit MobSF. Kommandozeile, ADB oder SSH und grundlegende Frida-Kenntnisse sind erforderlich.