Mobil Uygulama Sızma Testi (iOS/Android)
Mobil Uygulama
Sızma Testi Hizmeti
iOS ve Android uygulamalarınızın kaynak kodlarını, API iletişimlerini ve veri depolama güvenliğini OWASP Mobile Top 10 standartlarında test ediyoruz.
Sistem Taranıyor...
[!] Root Detection: Bypassed
[!] SSL Pinning: Disabled
[!] User Data: Decrypted
Çift Platformlu Derinlemesine Analiz
Her işletim sisteminin mimarisi farklıdır. Uzmanlarımız native (Swift/Kotlin) ve hibrit (React Native/Flutter) uygulamaların güvenliğini platforma özel yöntemlerle test eder.
Android Sızma Testi
APK dosyalarının tersine mühendislik ile açılması (Decompiling) ve kod analizi.
- ✓ AndroidManifest.xml analizi (İzinler)
- ✓ Smali/Java kaynak kod incelemesi
- ✓ Root tespiti bypass denemeleri
- ✓ Diğer uygulamalara veri sızıntısı (Intent Sniffing)
iOS Sızma Testi
Jailbreak yapılmış cihazlar üzerinde IPA analizi ve çalışma zamanı (Runtime) manipülasyonu.
- ✓ IPA şifrelemesinin çözülmesi
- ✓ Keychain (Parola Kasası) veri dökümü
- ✓ Jailbreak tespiti bypass denemeleri
- ✓ TouchID/FaceID biyometrik bypass
Neleri Test Ediyoruz? (OWASP Mobile)
Platform özelliklerinin (TouchID, Intent, Keychain) yanlış kullanımı.
Telefonda şifresiz veri (SQLite, Loglar, XML) saklanması.
Sunucu ile haberleşirken (API) SSL/TLS hataları ve sertifika sorunları.
Oturum yönetimi zafiyetleri ve zayıf parola politikaları.
Uygulama içinde zayıf şifreleme algoritmaları veya hardcoded anahtarlar kullanımı.
Tampon taşması (Buffer Overflow) gibi kod seviyesindeki hatalar.
Kullandığımız Mobil Analiz Araçları
Sektör standardı dinamik ve statik analiz (SAST/DAST) araçları.
API ve SSL Pinning Güvenliği
Mobil uygulamalar buzdağının görünen kısmıdır. Asıl saldırı yüzeyi, uygulamanın konuştuğu API sunucularıdır.
Testlerimizde SSL Pinning (Certificate Pinning) korumasını aşarak, uygulamanın sunucuyla yaptığı trafiği (Request/Response) yakalar ve manipüle ederiz. Bu sayede sunucu tarafındaki açıkları da tespit ederiz.
- ✓ API Key sızıntılarının tespiti
- ✓ Yetkisiz API çağrıları (IDOR)
- ✓ Man-in-the-Middle (MitM) saldırı simülasyonu
🕵️ Tersine Mühendislik (Reverse Engineering)
Saldırganlar uygulamanızı indirip kaynak kodlarına çevirebilir. Kaynak kodlarınızda unuttuğunuz API anahtarlarını, veritabanı şifrelerini veya özel algoritmaları tespit etmek için uygulamanızı parçalarına ayırıyoruz.
String apiKey = "AIzaSyD-XZy..."; [RISK]
Mobil Pentest Hakkında SSS
Kaynak kodları vermemiz gerekiyor mu?
Test için canlı (Production) ortam mı kullanılır?
Store (App Store/Play Store) onayı için gerekli mi?
Uygulamanız Markete Girmeden Önce
Kullanıcı verilerini ve marka itibarınızı koruyun. Mobil uygulamanızın güvenlik röntgenini çekelim.
Ücretsiz Ön Analiz İste