Konuyu Oyla:
  • Toplam: 0 Oy - Ortalama: 0
  • 1
  • 2
  • 3
  • 4
  • 5
xposed module sslunpinning
#1
sizlere rootsuz sslpinning yapmalı ögretecem.



https://github.com/ac-pm/Inspeckage

https://repo.xposed.info/module/mobi.acpm.inspeckage

program yukarıda
Ara
Cevapla
#2
@aras5757 hocam hiçbirşey anlamadım ben, daha açıklayıcı olsa daha güzel olurdu, ne işe yarar felan mesela.
Ara
Cevapla
#3
ne yapmak istiyorsunuz Inspeckage ile
Ara
Cevapla
#4
Uygulama analiz ediyor.uygulama içindeki https get veya post yakalamaya yarar. uygulama içindeki https doğrulamalı yok etmeye çalısır her uygulamada başka yöntem gerekir.

fiddler ile JusTrustMe xposed modulu kullanmak daha iyi bir secenek aslında bazı durumlarda.(Burpsuite de iyidir)
Ara
Cevapla
#5
Net Capture uygulaması var VPN yöntemi ile http, https(her uygulamada olmuyor ) ve udp isteklerini görebiliyorsunuz.

Sisteme yüklenen sertifikanın uygulamaların güvenli görmesi için APK'da bazı düzenleme yapmak gerek. Rootlu da bunlara gerek kalmayabilir.
Ara
Cevapla
#6
Net Capture her telefonda olmuyor


https://play.google.com/store/apps/detai...httpcanary
http canary da aynı şekilde her telefonda olmuyor.
Ara
Cevapla
#7
Bazen en iyi yöntem dex2jar ile jd-guidir

@ahgonlum "sertifikanın uygulamaların güvenli görmesi için APK'da bazı düzenleme yapmak gerek. " bunu nasıl yapıyorsunuz.
Ara
Cevapla
#8
@Barbaros hekır işleri. sosyal medya hesaplarını falan tek tek kullanıcı adı şifre deneyerek (brute forcing deniyor buna) kıran programlar var sentry mba falan gibi, bu programların çalışması için de önce bu hesap kırmak istediğin uygulamanın giriş yaparken yolladığı POST isteğinin bi örneği olması lazım elinde. Mesela bir uygulama giriş yapmak için şunu yolluyor diyelim:
Kod:
j123_kullanici_adi=excel&q234_sifre=excelsifre&w456_telefon_id=123456789
sen bu j123_kullanici_adi vesaire kısımları bilmiyorsan hesap mesap da kıramazsın brute forcing programlarıyla.

Önceden uygulamaların yolladığı verileri basitçe görebiliyodun Packet Capture ve sertifika yükleyerek, sonra SSL pinning mevzusu çıktı. Uygulama bağlantı yaparken mesela artık karşı taraftan gelen sertifikayı kontrol ediyor, tanımadığı bi sertifikaysa bağlanmıyor, sen de doğal olarak o POST örneğini alamıyorsun. SSL unpinning de uygulamalardaki bu pinning özelliğini kaldırma işleminin ismi. Arkadaşın attığı linklere bakmadım, onları da kendi anlatsın.
Ara
Cevapla
#9
(27-06-2019, Saat: 07:51)aras5757 Nickli Kullanıcıdan Alıntı:  Bazen en iyi yöntem dex2jar ile jd-guidir

@ahgonlum "sertifikanın uygulamaların güvenli görmesi için APK'da bazı düzenleme yapmak gerek. " bunu nasıl yapıyorsunuz.

https://blog.netspi.com/four-ways-bypass...e-pinning/ burda yazılanları deneyebilirsin. Server taraflı bir kontrol varsa onu bilmiyorum. Ama ben appetize.io kullanıyorum. Online çok rahat oluyor. Ama isteklere eklenen tokenler varsa onları nasıl oluşturduğuna bakman gerek, Decompile Edip.
Ara
Cevapla

{lang: 'en'}


Konu ile Alakalı Benzer Konular
Konular Yazar Yorumlar Okunma Son Yorum
Big Grin rootsuz xposed yükleme virtualxposed aras5757 0 809 26-06-2019, Saat: 13:57
Son Yorum: aras5757
  Xposed Installer (xposed yükleyici) lollipop/marshmallow freskadi 1 1,835 20-06-2017, Saat: 22:41
Son Yorum: Eyyamus
  YENİ Xposed Modülü Tarayicidan Izlediginiz Videoyu Indirme darkdays 20 15,830 25-02-2017, Saat: 02:04
Son Yorum: berkayy154
  GÜNCEL xposed modüller sürekli güncel Barbaros 2 8,326 20-02-2017, Saat: 08:34
Son Yorum: Barbaros
  Xstana (xposed modülü) freskadi 3 4,515 15-10-2016, Saat: 13:01
Son Yorum: freskadi

Hızlı Menü:


Konuyu Okuyanlar: 1 Ziyaretçi
Change Theme