Секреты в мобильном приложении как точка входа во внутреннюю инфраструктуру: пентест BlackBox

Особенности реализации

• Полностью внешняя модель BlackBox - Команда начинала работу с позиции внешнего атакующего: без учетных записей, без внутренней документации и без знания архитектуры. Это потребовало отдельного этапа разведки и восстановления карты внешнего периметра по открытым источникам и доступным интернет-ресурсам.
• Поиск не только веб-сайтов, но и связанных цифровых активов - В рамках тестирования проверялись не только основные домены и веб-приложения, но и поддомены, вспомогательные сервисы, мобильные приложения, открытые каталоги, файлы исходного кода и служебные интерфейсы.
• Мобильное приложение как ключевая точка входа - Одной из наиболее значимых находок стало мобильное приложение, в котором чувствительная информация хранилась в открытом виде. Внутри были обнаружены учетные данные приложения, токены доступа, учетные данные Help Desk и другие секреты, которые не должны находиться в клиентском приложении.
• Переход из внешнего периметра во внутренний контур - Найденные в мобильном приложении данные позволили развить атаку дальше: получить доступ к внутреннему контуру и к исходным кодам ряда приложений. Таким образом, внешнее тестирование вышло за рамки классической проверки сайта и показало реальный путь компрометации инфраструктуры.
• Наличие нескольких типов уязвимостей разного уровня риска - В проекте были выявлены критические, средние, низкие уязвимости и замечания: от перечисления e-mail зарегистрированных пользователей и хранения секретов в исходных кодах до open redirect, захвата поддомена, раскрытия исходного кода, просмотра каталогов и проблем в контактной форме.

Решение

На первом этапе команда провела разведку внешнего периметра. Были собраны домены и поддомены, определены публично доступные веб-приложения, вспомогательные сервисы, открытые директории, контактные формы, страницы авторизации и другие точки входа, которые могли использоваться атакующим из интернета.

Далее специалисты приступили к проверке найденных ресурсов. Веб-приложения и внешние сервисы анализировались на наличие типовых рисков: ошибок конфигурации, слабой защиты аутентификации, отсутствия ограничений на число попыток входа, открытых перенаправлений, раскрытия чувствительной информации, доступности исходного кода, просмотра каталогов и недостатков в обработке пользовательского ввода.

Отдельное внимание было уделено поиску связанных активов за пределами основных веб-сайтов. В ходе работ было найдено мобильное приложение клиента. Его анализ показал, что внутри приложения в открытом виде хранились чувствительные данные: учетные записи приложения, токены доступа, учетные данные Help Desk и другие секреты.

Эта находка стала ключевой для развития атаки. Используя обнаруженную информацию, специалисты смогли перейти от внешнего BlackBox-сценария к доступу во внутренний контур. Далее был получен доступ к исходным кодам ряда приложений, что позволило дополнительно оценить риски хранения секретов в коде, качество управления доступом и потенциальное влияние компрометации на разработку и эксплуатацию цифровых сервисов.

Также в ходе тестирования были выявлены уязвимости, связанные с перечислением e-mail зарегистрированных пользователей, хранением чувствительной информации в файлах исходных кодов, отсутствием ограничения на число попыток входа, открытым перенаправлением, захватом поддомена, раскрытием чувствительной информации, уязвимой контактной формой, раскрытием исходного кода веб-приложения и просмотром списка каталогов.

Все найденные проблемы были объединены в практические сценарии атаки. Вместо изолированного списка дефектов заказчик получил описание того, как внешний атакующий мог бы последовательно использовать разные слабые места: начать с разведки внешнего периметра, найти мобильное приложение, извлечь из него секреты, получить доступ к внутренним ресурсам и затем добраться до исходных кодов приложений.
 

Результаты

• Заказчик получил подтвержденную картину внешнего периметра - Было установлено, какие публичные ресурсы, поддомены, приложения и вспомогательные сервисы доступны из интернета и какие из них могут использоваться как точки первичного доступа.
• Обнаружена критическая утечка чувствительной информации в мобильном приложении - В мобильном приложении были найдены учетные данные, токены доступа, учетные данные Help Desk и другие секреты, хранившиеся в открытом виде. Эта находка показала, что риск находился не только в веб-приложениях, но и в связанных клиентских компонентах.
• Получен доступ во внутренний контур - Использование обнаруженных в мобильном приложении данных позволило развить атаку и перейти из внешнего периметра во внутреннюю инфраструктуру. Это подтвердило практическую опасность хранения секретов в клиентских приложениях и исходных кодах.
• Получен доступ к исходным кодам ряда приложений - Дальнейшее развитие атаки позволило получить доступ к исходным кодам нескольких приложений. Для заказчика это стало важным индикатором риска: компрометация внешнего или мобильного компонента может привести не только к утечке данных, но и к раскрытию внутренней логики, секретов и технологических деталей разработки.
• Выявлены критические, средние и низкие уязвимости - Среди наиболее значимых находок — перечисление e-mail зарегистрированных пользователей, хранение чувствительной информации в исходных кодах, отсутствие ограничений на число попыток входа, open redirect, захват поддомена, раскрытие чувствительной информации, уязвимая контактная форма, раскрытие исходного кода и просмотр каталогов.
• Построены реальные цепочки атак - Команда показала, как отдельные проблемы могут усиливать друг друга. Например, утечка информации из мобильного приложения в сочетании с доступными внешними сервисами и секретами позволила перейти от обычной разведки к компрометации внутренних ресурсов.
• Заказчик получил приоритизированный план устранения рисков - Все находки были классифицированы по уровню критичности и снабжены рекомендациями. Это позволило отделить срочные меры — отзыв и ротацию секретов, закрытие доступов, устранение критичных утечек — от плановых доработок внешнего периметра и процессов разработки.

Выводы для заказчиков

Кейс хорошо показывает, почему внешнее тестирование по модели BlackBox должно включать не только проверку основного сайта, но и полноценную разведку всех связанных цифровых активов: поддоменов, мобильных приложений, тестовых стендов, открытых каталогов, исходных кодов и вспомогательных сервисов.

В этом проекте ключевой точкой развития атаки стало мобильное приложение. Формально оно могло восприниматься как клиентский компонент, но на практике содержало учетные данные, токены доступа, данные для удаленного подключения и другие секреты. Для атакующего такая находка превращает обычную внешнюю разведку в возможность получить доступ к внутреннему контуру.

Главный вывод для заказчика: риск внешнего периметра не ограничивается уязвимостями веб-сайтов. Любой публично доступный компонент — мобильное приложение, забытый поддомен, контактная форма, открытая директория или файл с исходным кодом — может стать началом цепочки атаки. Особенно опасны ситуации, когда в коде и клиентских приложениях хранятся секреты, потому что после их утечки злоумышленник получает не только информацию, но и готовые инструменты для дальнейшего продвижения.

Проведенный пентест позволил заказчику увидеть внешнюю инфраструктуру глазами атакующего, подтвердить реальные пути компрометации и определить первоочередные меры: удалить секреты из клиентских приложений и исходных кодов, провести ротацию учетных данных и токенов, закрыть доступ к внутренним ресурсам, усилить контроль публикации мобильных сборок и внедрить регулярную проверку внешнего периметра.