O documento descreve como o framework Drozer pode ser usado para obter informações pessoais de um dispositivo Android conectado à mesma rede Wi-Fi, como fotos da memória interna, mesmo com o modo de depuração USB desativado. Ele também discute como atualizar o sistema operacional, não fazer root e usar criptografia podem ajudar a proteger o dispositivo de tais ameaças.
TDC 2014 - Obtendo informações pessoais do seu Android com uma calculadora
1. Obtendo Informações Pessoais do
seu Android com uma Calculadora
Rafael Tosetto
Tecnólogo em Redes
MBA em Segurança da
Informação
rafaeltosettosec@gmail.com
2.
3.
4. Drozer Framework
• Client/Servidor
• Servidor no Android
• App permissão de Acesso total a rede
• Client no Windows executado a partir da
linha de comando
5.
6. Vídeo demonstrativo
• Foi utilizado apenas a rede Wifi
• Modo de depuração USB desativado
• Android v4.4.2 (KitKat) rooteado
• Firewall do Windows ativado
Etapas
1. Realizar a conexão do Drozer com o Android
2. Explorar os diretórios da memória interna
3. Fazer download de uma foto
Link: http://youtu.be/EhcDDmBPf-Y
9. Como se proteger
• Usar criptografia
• Suspeite de permissões não condizentes com
o aplicativo
• Aplicativos com criptografia própria
10. E com acesso 3G?
• Chips da Claro e Oi não responderam a
requisição
• Drozer estabelece conexão no chip da TIM e
fazer a exploração via 3G (Testado no
Gingerbread)
Da para ver as permissões com detalhes acessando pelo google play
Da para ver as permissões com detalhes acessando pelo google play
Explicar que o usuário conectado no shell é o user do Drozer (já que cada App tem seu UID GID), logo não tem permissão para alterar pastas do sistema, apenas as que tem a permissão de read/write, como a memória interna.
Kitkat consegue até entrar na pasta sdcard, mas não lista nada. Idem para o extSdCard (cartao de memoria)