El objetivo de este post es aprender a configurar un dispositivo móvil físico para poder realizar pruebas de pentesting de aplicaciones Android. Este método es una alternativa de trabajo al post sobre la creación de un entorno virtualizado en Android Studio que vimos anteriormente. La principal ventaja de trabajar con un dispositivo físico es que nos ahorraremos mucho espacio y recursos de nuestro ordenador al no tener que descargar y trabajar con dispositivos emulados, además de la comodidad de manejarlo con nuestras propias manos.
- Antes de comenzar
- ¿Qué significa rootear un dispositivo?
- ¿Qué es Magisk?
- Cómo instalar Magisk en nuestro dispositivo Android
- Habilitar las Opciones de Desarrollador en nuestro dispositivo
- Depuración por USB
- Desbloqueo de OEM
- Desbloqueo de Bootloader e instalación del Custom Recovery
- Uso del Custom Recovery e instalación de Magisk en el sistema raíz
- Bonus: Instalación del certificado de Burp Suite a través de Magisk
- Conclusión
- Referencias
Antes de comenzar
Seguramente lo sepas o te lo puedas imaginar, pero nunca está de más hacer este tipo de recordatorios. Si solo dispones de un dispositivo móvil Android y es el de tu uso personal, NUNCA lo manipules ni modifiques sus configuraciones para acciones como rootearlo u otras opciones. Algunas desventajas de estas alteraciones son las siguientes:
- Daño del dispositivo
- Pérdida de garantía
- Aumento de vulnerabilidades
- Pérdida de actualizaciones automáticas
- Imposibilidad de uso de múltiples aplicaciones
Emplea siempre un dispositivo que ya no utilices y sobre el que no te importe correr riesgos para hacer este tipo de pruebas. Además, infórmate siempre antes de instalar aplicaciones o realizar cualquier tipo de cambios.
¿Qué significa rootear un dispositivo?
Cuando utilizamos un dispositivo Android, siempre lo hacemos con los privilegios de un usuario normal sin ningún tipo de privilegio, por lo que nuestras acciones sobre el dispositivo están siempre limitadas. Al rootearlo, se obtienen permisos de superusuario por lo que se puede realizar cualquier tipo de acción sobre el sistema operativo. En pocas palabras, puedes hacer lo que te de la gana con él. El principal problema es que dicho superusuario se encuentra bloqueado por defecto, por lo que es el fabricante del dispositivo el que controla qué cambios se pueden hacer en sus dispositivos, así pues dependiendo de la marca que tengamos puede haber algunas variaciones en estas limitaciones.
¿Y para qué se suelen rootear los dispositivos móviles? Pues bien, la principal acción que se suele hacer en los dispositivos rooteados es la instalación de ROMs (Read Only Memory o memoria solo de lectura, la memoria interna que almacena el sistema operativo) personalizadas o más actualizadas a las que tu dispositivo puede acceder de manera estándar. Además también se emplea para eliminar aplicaciones o funcionalidades que vienen instaladas en el dispositivo por defecto y que como usuario normal no se pueden eliminar, así como instalar otras aplicaciones o funcionalidades prohibidas por defecto.
En nuestro caso, necesitaremos tener privilegios de superusuario del dispositivo para poder realizar de manera adecuada todas las pruebas de pentesting necesarias sobre las aplicaciones que queramos auditar.
Sin embargo, existe una manera de conseguir máximos privilegios sobre el disposivito Android sin la necesidad de modificar el sistema operativo. Esto es posible gracias a Magisk.
¿Qué es Magisk?
Magisk es una herramienta de rooteo de código abierto para Android, la cual sustituye a las antiguas soluciones de rooteo que funcionan modificando el sistema operativo. Como Magisk no modifica la partición del sistema sino que se instala como una capa adicional superpuesta al sistema operativo, es una técnica conocida como systemless root.
¿Cuál es la ventaja de este método? Que al no haber modificado el sistema desde su raíz, los fabricantes no son capaces de detectar que el teléfono ha sido modificado, por lo que el dispositivo puede serguir recibiendo actualizaciones y ejecutando aplicaciones sensibles mientras tienes acceso como superusuario. Además, permite pasar los test de seguridad e integridad más exigentes, como SafetyNet.
A continuación vamos a explicar cómo convertirnos en superusuario de nuestro móvil Android empleando esta herramienta y manteniendo la integridad del dispositivo.
Cómo instalar Magisk en nuestro dispositivo Android
Para comenzar con el proceso, suelo recomendar (salvo honrosas excepciones) el reseteo del dispositivo a su estado de fábrica. Me gusta hacerlo para garantizar que el móvil en cuestión se encuentre en un estado por defecto para cerciorarme de que no habrá configuraciones que puedan interferir en los procesos que se van a explicar a continuación. En mi caso, voy a estar trabajando con un Motorola Moto G5 (lo sé, es tela de viejo) con la versión de Android 8.1. Como información adicional, os contaré que este dispositivo no iba a ser el elegido para la realización de este post, si no que iba a ser un Xiaomi Redmi 9 Pro. Sin embargo, los dispositivos Xiaomi son un poco puñeteros y os hablaré de ello más adelante en este post para que lo tengáis en cuenta en futuras situaciones.
Bien, en primer lugar tenéis que saber que al conectar un dispositivo físico con la configuración por defecto al ordenador solo podréis realizar las opciones básicas que este te ofrece, que suelen ser la carga de la batería o la transferencia de archivos. Si quisiéramos realizar operaciones por consola empleando las platform-tools como por ejemplo adb no podríamos. Podéis realizar la prueba enchufando vuestro dispositivo al PC y ejecutando el comando adb devices. No os aparecerá nada. Para poder trabajar desde consola con las herramientas pertinentes, tendremos que habilitar las opciones de desarrollador en nuestro dispositivo móvil.
ATENCIÓN: A partir de aquí vamos a necesitar utilizar las herramientas mencionadas en las platform-tools, en concreto adb y fastboot. Si todavía no las tienes las puedes encontrar en los siguientes enlaces:
- Herramientas de la plataforma del SDK
- ADB Instructions
- Descarga directa de las Platform-Tools para Windows
Habilitar las Opciones de Desarrollador en nuestro dispositivo
Las opciones de desarrollador son unas opciones avanzadas de configuración del dispositivo móvil que siempre se encuentran ocultas en una primera instancia para que la gente a nivel usuario no las tenga muy a mano, ya que algunas requieren de un conocimiento y un uso responsable para no causar algún estropicio en el teléfono. La visualización de estas opciones es prácticamente igual en todos los móviles de todas las marcas, por lo que será sencillo habilitarlas. En mi caso concreto, los pasos son los siguientes:
- Ajustes → Sistema → Acerca del teléfono → Número de compilación → Pulsarlo 7 veces
En otras marcas puede variar un poco, y en lugar de entrar a Sistema quizá haya que entrar a General, en lugar de Acerca del teléfono puede que sea Información del dispositivo, pero lo que es común en todos será en encontrar el número de compilación y habrá que pulsarlo 7 veces (por muy raro que suene). Os aparecerán mensajes estilo Toca 3 veces más para habilitar las opciones de desarrolador, y finalmente algo parecido a Opciones de Desarrollador habilitadas.
Una vez hecho esto, os habrán aparecido estas opciones normalmente en la pestaña de General o de Sistema. Si no las encontráis, podéis utilizar el buscador del teléfono para encontrarlas:
Dentro de las Opciones de Desarrollo nos aparecen muchísimas pestañas y acciones avanzadas para habilitar o configurar. Sin embargo, a nosotros únicamente nos va a interesar habilitar dos de ellas: Depuración por USB y Desbloqueo de OEM.
Depuración por USB
La depuración por USB es lo que va a habilitar la comunicación por cable entre el dispositivo móvil y el ordenador, permitiendo así interactuar con las aplicaciones y la memoria del dispositivo. Dicho de otro modo, cuando habilitáis esta opción ya podréis visualizar el dispositivo con adb y realizar acciones sobre él. Eso sí, os saldrá un mensaje en la pantalla de vuestro Android donde tendréis que confiar en la conexión establecida:
En este punto, es un buen momento para realizar una comprobación: vamos a instalar Magisk y veremos si la aplicación nos otorga algún tipo de privilegio siguiendo un proceso habitual de instalación de aplicaciones. Para ello, y desde nuestro dispositivo móvil, vamos a ir al repositorio de GitHub de la aplicación al apartado Releases y vamos a descargar la apk que se encuentra alli en el siguiente enlace:
Nota: en algunos dispositivos (Samsung Galaxy S9+ que sepamos) la versión v27.0 de Magisk puede dar un error “recv_fd: msg_flags = 0, msg_controllen(0) !=24” al intentar usar permisos de root en aplicaciones. En este caso descargando la versión mas reciente a día de hoy (la v28.0) solventa el problema.
Una vez obtenida, accedemos a descargas y la instalamos. Nos pedirá confiar en aplicaciones descargadas desde nuestro navegador, por lo que seguramente tendremos que acceder a los ajustes del navegador y seleccionar en la opción Confiar en esta fuente. Una vez hecho esto, abrimos Magisk. La aplicación en sí, no tiene mucho. Lo que nos interesa será ver que de las 4 pestañas que se ven en la parte inferior, habrá 2 que no será posible acceder, las cuales son Superusuario y Módulos. Además, nos indicará que Zygisk (La ejecución de Magisk en el proceso Zygote, el primer proceso del sistema operativo) no se encuentra instalado. Esto nos indica que no hemos obtenido privilegios de ningún tipo por arte de magia:
Para garantizar que no tenemos ningún tipo de privilegio, podemos instalar cualquier aplicación de las denominadas Root Checker que nos indica cuándo un dispositivo está rooteado y cuándo no. La que yo suelo usar es la siguiente (os dejo enlace de apkpure para descargar en el dispositivo móvil porque no está en GitHub):
Una vez hemos instalado la aplicación y hemos comprobado que simplemente por instalarla no somos root, vamos a modificar la extensión de la descarga de Magisk de apk a zip (sin eliminar la aplicación del dispositivo) y la almacenaremos en la carpeta de descargas. Esto lo necesitaremos más adelante:
Tras haber finalizado con el procedimiento de Depuración por USB volvemos a la otra opción de desarrollador que necesitábamos habilitar.
Desbloqueo de OEM
El desbloqueo de OEM (Original Equipment Manufacturer) implica desbloquear la protección del fabricante sobre el dispositivo móvil. Esto abre un abanico de posibilidades, y una de las utilidades que nos interesa es que se ha desbloqueado el bootloader del dispositivo. El bootloader o gestor de arranque, es la primera herramienta que se ejecuta al iniciar un dispositivo y realiza varias comprobaciones antes de cargar el sistema operativo. Cuando esta opción está deshabilitada, solo es posible arrancar las particiones por defecto del fabricante, por lo que al habilitar este desbloqueo se abre la posibilidad de hacer modificaciones a nivel de software.
Además, con esta opción se ha habilitado la instalación de una Custom Recovery (Recuperación personalizada). El modo Recovery es básicamente una partición de Android similar a la BIOS de Windows, la cual es independiente por lo que tiene propiedades de arranque individual. Como de costumbre, este modo por defecto permite realizar recuperaciones del sistema o instalaciones oficiales. Sin embargo, al utilizar una Custom Recovery las posibilidades se amplían, y una de ellas es la instalación de aplicaciones con la extensión zip que lo que hará será instalar la aplicación directamente en el sistema raíz. Por esta razón antes hemos guardado la aplicación de Magisk en este formato.
Que esta imagen no os sirva de guía, ya que la tomé después de haber realizado acciones que vamos a explicar a continuación, y por eso sale con ese tono gris. Esto lo menciono porque simplemente con habilitar este desbloqueo no se han activado las opciones que os acabo de detallar (al menos en la mayoría de dispositivos).
Esta es la parte más delicada de todo el proceso, ya que cada marca de móviles funciona de una manera distinta y algunos desbloqueos del bootloader pueden ser una auténtica odisea. La parte buena es que se pueden encontrar detalles de cada marca en Internet para desbloquearlo, por lo que siguiendo los pasos que vamos a ver solo habría que adaptar el proceso a cada modelo.
Desbloqueo de Bootloader e instalación del Custom Recovery
Empezamos con la chicha. Voy a explicar todo el proceso a seguir de manera genérica y habrá partes en las que especifique lo que tuve que hacer yo personalmente para mi modelo de dispositivo, e intentaré poner otros ejemplos que puedan ser útiles.
Antes de comenzar con todo el proceso vamos a realizar la descarga de la imagen del software de Custom Recovery que hemos mencionado anteriormente y que vamos a utilizar. Para ello existen varias webs en las que buscar y encontrar estas imágenes para cada marca y modelo, ya que hay distinción también entre dispositivos de la misma marca. El más famoso es TWRP, aunque también hay otras páginas como Orangefox:
Además, únicamente si tu dispositivo es un Samsung, vais a necesitar descargar el software Odín para realizar el paso de cargar la imagen del Custom Recovery en el dispositivo en lugar de hacerlo por consola:
En mi caso, busco mi modelo de Motorola y encuentro la imagen que me corresponde:
Guardamos esta imagen en la carpeta de platform-tools. Hecho esto, el primer paso será abrir una cmd con permisos de administrador (por si acaso) en nuestra máquina Windows desde la carpeta de las mencionadas anteriormente platform-tools. Nos tenemos que asegurar que dentro se encuentran tanto el ejecutable adb.exe como el fastboot.exe. Con el dispositivo móvil conectado al ordenador como hemos ido explicando a lo largo del post, comenzamos a ejecutar los siguientes comandos:
- adb devices → Comprueba si nuestro dispositivo se encuentra disponible para la ejecución de comandos y lo muestra
- adb reboot bootloader → Iniciamos el modo bootloader o gestor de arranque de nuestro Android
- fastboot devices → Comprueba si el dispositivo está conectado y reconoce el modo bootloader mostrándolo
- fastboot flash recovery [imagen del Custom Recovery] → El comando flash se emplea para escribir datos sobre una partición, que en este caso es la partición Recovery que mencionamos y explicamos unos párrafos más arriba. Por tanto, lo que estamos haciendo es sustituir el modo de recuperación por defecto por uno personalizado.
Si todo a salido a la perfección a la primera (cosa que me parecería prácticamente un milagro) vuestra terminal tendría aproximadamente el siguiente aspecto:
Antes de continuar con el proceso a partir de este punto, vamos a hablar sobre los problemas que casi con total seguridad vais a tener que solventar, porque como ya mencioné anteriormente, esta es la parte más engorrosa de todo el proceso:
- PROBLEMA 1 : El OEM no se ha desbloqueado correcta o completamente.
- PROBLEMA 2 : El comando fastboot devices no muestra vuestro dispositivo.
- PROBLEMA 3 : Estáis intentando instalar una imagen que no es la que se corresponde con vuestro dispositivo. Por favor, aseguraos bien de que la seleccionáis correctamente.
Si habéis tenido la suerte de hacerlo a la primera sin tener que resolver ningún error, cuéntamelo en los comentarios y dime qué modelo de dispositivo Android habéis utilizado! 😀
Problema 1: El OEM no se ha desbloqueado correcta o completamente
Para reconocer este problema os encontraréis en la parte de la instalación de la imagen. Tras encontrar el dispositivo con el comando fastboot devices y ejecuteis el fasboot flash recovery os aparecerá un mensaje en el que se muestra el error ‘not allowed in locked state’ como se puede ver a continuación:
Para comprobar si realmente el OEM se ha desbloqueado, podemos ejecutar el siguiente comando en este mismo punto del proceso:
- fastboot flashing get_unlock_ability
El valor de este parámetro debe de ser 1 en caso de que se encuentre desbloqueado correctamente. Si nos ha mostrado el error de la imagen anterior, el valor será de 0:
Existe un comando que en teoría realiza el desbloqueo del OEM desde la consola, que es el siguiente:
- fastboot oem unlock
Quizá tengáis suerte y os funcione, pero a mi me ha dado error en diferentes dispositivos:
En este punto tendremos que realizar una pequeña búsqueda sobre cómo desbloquear el OEM según nuestro fabricante. Os expongo mi caso con Motorola para que os sirva como referencia, ya que es muy similar en todos los dispositivos. Simplemente realicé la búsqueda de ‘oem unlock motorola’ en Google y me acabó llevando al siguiente enlace de su web oficial:
Me registré con mi correo (no lo hagáis si no tenéis un Motorola) y solicité el código para desbloquearlo (el fabricante te da su consentimiento para llevar a cabo esta acción, por así decirlo). El correo me llegó de manera inmediata:
Una vez hecho esto, seguí los pasos que aparecían en la URL mencionada anteriormente:
Estos pasos os sonarán de haberlos visto más arriba. El comando clave, que también os sonará, es el siguiente:
- fasboot oem unlock <UNIQUE_KEY>
Ejecutando ese comando con el código recibido por correo se realizará el desbloqueo del OEM y ya podremos instalar la imagen. Problema solventado 😎
Bonus: Desbloquear el OEM en un dispositivo Xiaomi
Como contenido añadido, os voy a contar la experiencia que os comenté al comenzar el post con el dispositivo Xiaomi (de hecho las capturas de errores de este apartado son con ese móvil). Al acceder a las opciones de desarrollador de los dispositivos de esta marca, además de la opción de desbloqueo de OEM, existe otra denominada Estado Mi Unlock:
Al acceder a este apartado, vemos un mensaje del dispositivo en el que te indican los permisos que se necesitan para poder desbloquear el OEM, que no son pocos precisamente:
Si pulsamos en De acuerdo y decidimos regalarle nuestra alma a nuestros amigos asiáticos, aparecerán unos pasos a seguir para continuar con el proceso:
A modo resumen, necesitas tener una cuenta Mi vinculada en el dispositivo y la tarjeta SIM con datos y conexión a Internet dentro del mismo. Al cumplir estos requisitos, tendrás que descargarte la aplicación a tu ordenador desde el siguiente enlace:
Una vez descargada y con el dispositivo conectado al PC, al acceder a la aplicación deberás acceder a la misma cuenta Mi empleada en el Xiaomi. Una vez dentro, se verificarán que se cumplen todas las condiciones mencionadas anteriormente, y la aplicación te permitirá solicitar el desbloqueo, el cual puede tardar hasta 70 horas. Tendrás que ser tú el que vuelva a abrir la aplicación y repetir este último proceso para, por fin, conseguir el desbloqueo del dispositivo. Tener en cuenta que al realizar esta acción, el dispositivo se resetea a los valores de fábrica, por lo que perderías todos los datos almacenados en el teléfono.
Problema 2: El comando fastboot devices no muestra vuestro dispositivo
La localización de este problema es bastante simple: al encontrarnos en el modo bootloader y ejecutar el comando fastboot devices no se muestra ningún dispositivo. Esto se debe a que es necesario instalar unos drivers de Google para poder realizar algunas acciones de las herramientas adb y fastboot. En primer lugar, descargaremos estos drivers que se encuentran en el siguiente portal de Android:
También podéis descargarlo de manera directa a través del siguiente enlace:
Una vez descargados, vamos a descomprimir la carpeta y copiarla a la carpeta de nuestras platform tools. Bien, con nuestro dispositivo conectado por USB a nuestro ordenador en el modo bootloader vamos a hacer lo siguiente:
- Ctrl + X (o click derecho en el icono de Windows) → Administrador de dispositivos → Otros dispositivos
Nos tendrá que aparecer un dispositivo Android conectado con una señal amarilla con una exclamación:
Haremos click derecho en el dispositivo Android y seleccionaremos la opción Actualizar controladores. A continuación, los pasos a seguir son los siguientes:
1. Examinar en mi PC en busca de controladores
2. Elegir una lista de controladores disponibles en el equipo
3. Mostrar todos los dispositivos → Siguiente
4. Usar disco
5. Buscar → Seleccionamos el archivo android_winsub.inf de la carpeta de drivers
6. Siguiente
7. Cerrar
Como podeis observar, se han instalado los drivers para las interfaces de adb y bootloader. Una vez finalizado el proceso, el icono (y quizá el dispositivo) habrán desaparecido y en su lugar aparecerá Android ADB Interface en la parte superior del panel de controladores. Ahora sí, podéis volver a vuestra consola y volver a ejecutar el comando fastboot devices, y os aparecerá vuestro dispositivo.
Uso del Custom Recovery e instalación de Magisk en el sistema raíz
Bien, si has tenido que resolver alguno (o ambos) de los problemas anteriormente detallados, enhorabuena, lo peor ya ha pasado. Lo que queda es un mero trámite para finalizar con el proceso. Volvemos a este punto:
En este punto nos toca arrancar el dispositivo en modo recovery como explicamos más arriba. Tenemos varias opciones:
- Si estamos en modo bootloader utilizaremos el comando: fastboot reboot recovery.
- Si el dispositivo se ha reiniciado y estamos conectados al ordenador: adb reboot recovery.
- Si tenemos el dispositivo apagado, lo encenderemos apretando los botones de desbloqueo y volumen arriba (esta combinación puede cambiar según la marca).
Una vez hecho esto, se abrirá el menú de TWRP. Seleccionaremos la opción de Instalar como se muestra a continuación:
Lo siguiente que haremos será navegar entre las carpetas hasta encontrar el archivo zip de Magisk, localizado en /sdcard/Download:
Una vez seleccionado, nos aparecerá el último paso de la instalación en el que tendremos que deslizar para confirmar el proceso:
Tras un breve periodo de instalación, reiniciaremos nuestro Android para comprobar que todo ha funcionado correctamente. Al ejecutar la aplicación Magisk, esta nos pedirá su reinstalación debido a los nuevos permisos obtenidos sobre el sistema. Una vez hecho esto, abriremos la aplicación y observaremos que, a diferencia de como ocurría con el estado de la aplicación al comienzo de este post, todas las opciones se encuentran desbloqueadas:
En esta ocasión, la aplicación Root Checker si nos va a detectar que tenemos privilegios sobre el sistema:
Finalmente tenemos privilegios de administrador sobre nuestro dispositivo, lo que nos permitirá trabajar con él en entornos de pentesting para la realización de pruebas.
A simple vista puede parecer un procedimiento largo y tedioso, pero teniendo controlado lo que hay que hacer en cada parte del proceso, se hace más rápido de lo que os imagináis. Probarlo y contarme qué tal os ha ido 😉
Bonus: Instalación del certificado de Burp Suite a través de Magisk
Os voy a regalar el proceso para instalar el certificado de Burp Suite a través de Magisk ya que es extremadamente sencillo. En primer lugar tendremos que configurar el proxy en nuestro dispositivo móvil de la misma manera que lo hicimos en un dispositivo virtual en el post sobre tunelizar e interceptar el tráfico en Android. Seleccionaremos la IP de nuestra red wifi para establecerla tanto en Burp Suite como en el Android (ambas capturas proceden de dicho artículo):
Una vez hecho esto instalamos el certificado como se hacía en la época de los dinosaurios, desde el navegador del dispositivo accediendo a la URL http://burpsuite:
Como ya explicamos en el post que he mencionado hace dos párrafos, de esta manera el certificado se instala en las Credenciales de confianza del usuario, no del sistema. Nos da igual:
Si recordáis la aplicación de Magisk, existe un apartado que se llama Módulos. Actualmente se encuentra vacío, pero vamos a instalar nuestro primer módulo para que nuestro certificado nos permita interceptar el tráfico http. Para ello, accederemos al siguiente repositorio de GitHub:
En él nos detalla que lo que hace este módulo es mover los certificados instalados por el usuario a las Credenciales de confianza del sistema. Para ello, en la pestaña de releases nos descargaremos el archivo zip burpcert-magisk-module:
Una vez hemos descargado el archivo, accederemos a la aplicación Magisk → Módulos y seleccionaremos la opción Instalar desde almacenamiento:
Seleccionaremos el archivo mencionado previamente:
Una vez hecho esto, se realiza la instalación de este módulo y su habilitación:
En este punto, volvemos a acceder a las Credenciales de confianza del dispositivo, donde el certificado de Burp Suite ha sido movido a la pestaña de sistema:
Tras esta comprobación, ya podemos interceptar el tráfico http para realizar nuestras pruebas de pentesting en dispositivos Android.
Conclusión
Aunque pueda parecer un proceso tedioso en algunas de sus partes, os garantizo que el empleo de un dispositivo físico para realizar pruebas de seguridad es mucho más cómodo que el empleo de dispositivos virtuales, evitando malgastar mucho almacenamiento en el disco duro de vuestro ordenador. Os aseguro que la configuración es muy rápida y merecerá la pena. Contarme qué tal os ha ido y si estáis contentos con vuestra nueva herramienta de trabajo :)
Un abrazo!