yNeoo — Mobile Pentesting

Pentesting de aplicaciones Android (y notas iOS) en laboratorio/emulador: análisis estático de APK (jadx, MobSF), análisis dinámico con Frida y objection, bypass de SSL pinning, y chequeos OWASP MASVS. Aplica solo a apps que tú controlas o con autorización.

Licencia	Estado	Visibilidad	Contenido
MIT	Activo	Público	Android/iOS analysis + defensa

mobile-pentesting/
├─ guias/            → apk-estatico.md, dinamico-frida.md
├─ scripts/          → frida-ssl-bypass.js (ejemplo)
├─ cheatsheet-adb.md → comandos adb esenciales
├─ setup-android.md  → emulador + rooteado + herramientas
├─ lab.md            → apps vulnerables para practicar
├─ defensa.md        → OWASP MASVS, hardening, tamper detection
├─ LICENSE
└─ README.md

⚠️ Solo aplicaciones propias, del lab o con autorización por escrito (pentest/BB con APK en scope). Interceptar apps ajenas sin permiso es delito. La responsabilidad del uso es del operador.

---

Áreas cubiertas

Área	Herramientas	Qué mirar
Estático (APK)	jadx, apktool, MobSF	secretos hardcodeados, endpoints, permisos, componentes expuestos
Dinámico	Frida, objection, Burp	tráfico, SSL pinning, controles runtime, tampering
Storage	adb, root/emulador	SharedPreferences, databases, logs, backups
Android/iOS notes	Frida, immergo	lo mismo, con diferencias de plataforma

El mínimo para empezar

# Analizar un APK (estático)
jadx -d out/ app.apk
mobsf -l 8000 && abrir http://127.0.0.1:8000   # sube el APK

# Instalar en emulador y explorar
adb install app.apk
adb shell am start -n <package>/.MainActivity

# Interceptar tráfico con Burp (proxy + cert) y Frida para pinning
frida -U -f com.example.app -l scripts/frida-ssl-bypass.js
objection -g com.example.app explore

Archivos

• guias/apk-estatico.md — deconstruir y leer un APK
• guias/dinamico-frida.md — hooking, pinning bypass, objection
• setup-android.md — emulador, root, adb, herramientas
• cheatsheet-adb.md — los comandos que usas cada día
• lab.md — apps vulnerables (DIVA, InsecureBank, OWASP)
• defensa.md — la otra cara (MASVS-L1/L2)

---

Aviso

Material educativo de análisis de apps móviles. Úsalo solo sobre apps propias o con autorización. La responsabilidad del uso es del operador.

Documentación mantenida por yNeoo.