Seminar ImmuniWeb MobileSuite – Mobile Penetration Testing

Seminarprofil

Das Seminar behandelt die Vorbereitung, Beauftragung, Begleitung und Auswertung vertiefter Mobile-Penetrationstests mit MobileSuite. App-Pakete, Testkonten, Backend-APIs, Gerätekontext, lokale Speicherung, Kommunikation, Plattformmechanismen, Drittkomponenten, Geschäftslogik, Datenschutz und Retesting werden als zusammenhängender Prüfprozess bearbeitet.

Die angesetzte Dauer von 3 tage ist fachlich erforderlich, weil Mobile-Penetrationstests mehrere technische Ebenen und Plattformen verbinden und neben der Testplanung ausreichend Zeit für praktische Befundanalyse, Risikobewertung und Retesting benötigen.

Inhaltsverzeichnis

1. Seminarprofil
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Prüfumfang und Testvorbereitung
5. Statische Analyse und Lieferkette
6. Dynamische Analyse und lokale Sicherheit
7. Kommunikation, Backend und Geschäftslogik
8. Bericht, Priorisierung und Remediation
9. Retesting und Release-Freigabe
10. Praxisübungen

Zielgruppe und Voraussetzungen

Zielgruppe: Mobile-Entwicklung, Application Security, Penetration Testing, Product Security, Mobile-Architektur, Datenschutztechnik und technische Produktverantwortliche.

Voraussetzungen: Fundierte Kenntnisse zu Android oder iOS, HTTP, APIs, Authentisierung und mobilen Entwicklungsprozessen; Testgeräte und freigegebene App-Artefakte sind für Übungen vorteilhaft.

Lernziele

• Ein vollständiges Mobile-Pentest-Scope mit App, Backend und Rollen definieren.
• Testartefakte und Zugänge sicher sowie reproduzierbar bereitstellen.
• Mobile Findings technisch und geschäftlich nachvollziehen.
• App-, Plattform-, API- und Lieferkettenursachen voneinander trennen.
• Behebungen mit eindeutigen Akzeptanzkriterien retesten.

Seminarinhalte

1. Prüfumfang und Testvorbereitung

Der Testumfang umfasst mehr als die sichtbare App-Oberfläche.

1. APK- und IPA-Versionen, Build-Varianten und Zielumgebungen festlegen.
2. Testgeräte, Betriebssystemstände und relevante Gerätezustände dokumentieren.
3. Rollen, Testkonten, Mandanten und Backend-Endpunkte bereitstellen.
4. Datenschutz-, Betriebs- und Abbruchbedingungen verbindlich freigeben.

2. Statische Analyse und Lieferkette

App-Pakete werden auf Code-, Konfigurations- und Komponentenrisiken untersucht.

1. Manifest, Berechtigungen, Entitlements und Build-Einstellungen prüfen.
2. Hardcoded Secrets, Debug-Artefakte und unsichere Konfigurationen identifizieren.
3. Drittbibliotheken und Softwarekomponenten nach Herkunft und Risiko bewerten.
4. Obfuskation, Integritätsschutz und Update-Mechanismen einordnen.

3. Dynamische Analyse und lokale Sicherheit

Das Laufzeitverhalten wird unter kontrollierten Bedingungen beobachtet.

1. Lokale Speicherung, Caches, Logs und Zwischenablagen prüfen.
2. Authentisierung, Sitzungswechsel und App-Zustände testen.
3. Runtime-Manipulation, Hooking und Schutzmechanismen bewerten.
4. Fehlermeldungen und sensible Informationen im Laufzeitverhalten untersuchen.

4. Kommunikation, Backend und Geschäftslogik

Mobile Risiken entstehen häufig an der Grenze zum Backend.

1. TLS-Konfiguration, Zertifikatsprüfung und Netzwerkverkehr analysieren.
2. API-Endpunkte und versteckte Funktionspfade erfassen.
3. Autorisierung, Mandantentrennung und Objektzugriffe mit mehreren Rollen prüfen.
4. Transaktionsfolgen, Limits und Missbrauchsszenarien der Geschäftslogik untersuchen.

5. Bericht, Priorisierung und Remediation

Findings werden nach Ursache und verantwortlichem Team geordnet.

1. Evidenz, Reproduktionsschritte und betroffene Versionen prüfen.
2. App-seitige, backendseitige und plattformbezogene Ursachen trennen.
3. Schweregrad mit Datenwirkung und realer Angriffsvoraussetzung kalibrieren.
4. Konkrete Behebungs- und Härtungsanforderungen formulieren.

6. Retesting und Release-Freigabe

Retests bestätigen nicht nur den Codewechsel, sondern die tatsächliche Risikobeseitigung.

1. Neue Build-Version und unveränderte Testbedingungen dokumentieren.
2. Originalbefund exakt reproduzieren und Negativtest durchführen.
3. Regressionen in angrenzenden Funktionen prüfen.
4. Abschluss, Restrisiko oder erneute Nacharbeit eindeutig festhalten.

Praxisübungen

• Erstellung einer Mobile-Pentest-Scope- und Artefaktliste.
• Analyse statischer und dynamischer Beispielbefunde.
• Bewertung eines App-zu-API-Angriffspfads.
• Formulierung technischer Akzeptanzkriterien für einen Retest.

Im Rahmen der Übungen entsteht ein vollständiger Mobile-Penetrationstestplan mit Artefakten, Rollen, Testfällen, Remediation-Zuordnung und Release-Retest.