ทดสอบเจาะระบบแอปพลิเคชันมือถือ
ทดสอบแอปพลิเคชัน iOS และ Android ด้วย static, dynamic และ network analysis โดยทีมที่ถือ OSCP และ eMAPT
แอปพลิเคชันมือถือของคุณทำงานบนเครื่องที่คุณควบคุมไม่ได้ วิ่งผ่าน network ที่ไว้ใจไม่ได้ แล้วยังพก logic กับความลับที่ผู้โจมตีค่อย ๆ แกะออกมาดูได้ตามจังหวะของตัวเอง เราทดสอบแอปพลิเคชัน iOS และ Android แบบเดียวกับที่ผู้โจมตีตัวจริงลงมือ ตั้งแต่ binary บนเครื่อง ไปจนถึงตัวแอปพลิเคชันตอนรัน และ traffic ที่แอปพลิเคชันส่งออกไป แล้วส่งมอบ finding ที่ทีมพัฒนาของคุณทำซ้ำและแก้ไขได้จริง
ทำไมแอปพลิเคชันมือถือต้องทดสอบแยก
แอปพลิเคชันมือถือถูกแจกออกไปเป็น binary ที่ไปอยู่บนเครื่องในมือผู้ใช้ ผู้โจมตีจึง decompile ตัวแอปพลิเคชันได้ แก้ค่าตอนรันได้ และส่องทุกอย่างที่แอปพลิเคชันเก็บไว้ในเครื่องได้ นี่คือ attack surface ที่การทดสอบฝั่ง server ไม่เคยแตะ ปัญหาต่อไปนี้คือสิ่งที่เราเจอซ้ำแล้วซ้ำอีก ไม่มีข้อไหนโผล่มาเลยถ้าทดสอบแต่ API จากข้างนอก
key ที่ฝังตายในโค้ด
certificate pinning ที่อ่อน
local storage ที่ไม่ปลอดภัย
logic ที่ไว้ใจ client มากไป
การทดสอบแอปพลิเคชันมือถือยังต้องดูควบคู่กับ backend ที่แอปพลิเคชันคุยด้วย finding ที่มีผลกระทบสูงหลายข้อ เช่น broken authorization, session handling ที่อ่อน และ API key ที่รั่ว อาจโจมตีได้จริงก็ต่อเมื่อดู client กับ server ไปพร้อมกัน งานทดสอบมือถือของเราจึงขยายเข้าไปถึง API และ backend service ที่แอปพลิเคชันพึ่งพาได้เมื่ออยู่ใน scope เราแนะนำให้ทดสอบก่อนปล่อยเวอร์ชันใหญ่ และทดสอบซ้ำเมื่อแก้ส่วนสำคัญอย่าง authentication การชำระเงิน หรือข้อมูลที่แอปพลิเคชันเก็บไว้ในเครื่อง เพราะแอปพลิเคชันมีการอัปเดตผ่าน app store บ่อย เวอร์ชันที่ผู้ใช้รันอยู่จึงค่อย ๆ ห่างออกจากเวอร์ชันที่คุณประเมินไว้ล่าสุด
เราทดสอบอย่างไร
งานทดสอบทุกครั้งเดินผ่านการวิเคราะห์สามเฟส ทั้งบน iOS และ Android ตั้งแต่ binary ที่ปล่อยออกมา ไปจนถึงแอปพลิเคชันตอนรัน และ traffic ที่แอปพลิเคชันส่งออกไป เครื่องมือเปลี่ยนไปตามเป้าหมาย ทั้ง Frida, Objection, Burp Suite, jadx, Drozer และ SDK ของแต่ละแพลตฟอร์ม ส่วนวิธีการคงเดิม ทุก finding ที่รายงานผ่านการยืนยันด้วยมือ
Static analysis
เราทำงานจาก package ที่ปล่อยออกมาจริง ทั้ง IPA และ APK บน Android การอ่าน Java source ที่กู้กลับมาช่วยให้เข้าใจว่าแอปพลิเคชันทำงานจริงยังไง
iOS: วิเคราะห์ binary
- ไล่ดู library ทั้งหมด
- reverse engineer ด้วยการ disassemble ตัว package
- วิเคราะห์ component
Class-dump-z otool hopper
Android: ทำ reverse engineering
- decompile
- patch
- วิเคราะห์ component
- เข้าถึง Java source ที่ decompile ออกมา
jadx eclipse Drozer
Dynamic analysis
เรา hook แอปพลิเคชันตอนที่กำลังรัน ดักและแก้ function call เดินสำรวจ file system แล้วส่อง memory กับ logs สมมติฐานเรื่องความไว้ใจฝั่ง client, storage ที่ไม่ปลอดภัย และการควบคุมที่ bypass ได้ จะปรากฏในขั้นนี้
เครื่องมือบน iOS
Frida Appmon iExplorer xcode Snoop-it iFunbox Objection
เครื่องมือบน Android
Frida adb Android Studio Genymotion
Network analysis
เราดัก traffic HTTP/SSL/HTTPS/TLS ของแอปพลิเคชันแล้วแก้ค่า ทดสอบการตรวจ certificate, transport security และดูว่า backend เช็คซ้ำทุกอย่างที่ client อ้างมาหรือเปล่า
เครื่องมือบน iOS
Burpsuite sslkillswitch2
เครื่องมือบน Android
Burpsuite Frida
ขั้นตอนการทำงาน
งานทดสอบทุกครั้งเดินตามกระบวนการห้าขั้นตอนเดียวกับ บริการ penetration test อื่นของเรา
Scoping
ตกลงกันว่าแอปพลิเคชันไหน แพลตฟอร์มอะไร (iOS, Android หรือทั้งคู่) และ build variant ไหนอยู่ใน scope
ข้อเสนอระบุไทม์ไลน์และราคาไว้ชัดเจน
Rules of engagement
test account, backend environment และกฎการจัดการข้อมูล
ตกลงกันให้จบก่อนเริ่มทดสอบ
Testing
static, dynamic และ network analysis ตามขอบเขตที่ตกลงกันไว้
ลงมือทำด้วยมือ
Reporting
executive summary สำหรับผู้บริหาร
technical finding ที่ทีมวิศวกรของคุณทำซ้ำได้
Retest & debrief
พอทีมคุณแก้เสร็จ เรากลับมาตรวจทีละข้อว่าแก้จริง
ปิดงานด้วยการนัดคุย debrief
สิ่งที่คุณได้รับ
Executive summary
ภาพความเสี่ยงระดับธุรกิจ เหมาะให้ผู้บริหารและผู้ตรวจสอบอ่าน
Findings พร้อมระดับความรุนแรง
แต่ละ finding ได้คะแนน CVSS และระบุแพลตฟอร์มที่ได้รับผลกระทบ เพื่อให้จัดลำดับการแก้ไขได้
ขั้นตอนทำซ้ำ
ขั้นตอนทำซ้ำของแต่ละ finding อย่างละเอียด พร้อมเครื่องมือ คำสั่ง และภาพหน้าจอ
คำแนะนำการแก้ไข
วิธีแก้ที่ทำได้จริงและเจาะจงแต่ละแพลตฟอร์มทั้ง iOS และ Android
การ retest ยืนยันผล
เราตรวจซ้ำหลังคุณแก้ไข แล้วอัปเดตรายงานให้สะท้อนรายการที่ปิดแล้ว
ทุกงานที่ผ่านมาเจอ finding จริงที่ผ่านการยืนยันแล้ว
ทีมและใบรับรอง
ใบรับรอง
- OSCP
- OSCE
- CREST CRT
- CREST CPSA
- GIAC GREM
งานทดสอบแอปพลิเคชันมือถือทำโดยทีมภายในของเราที่ถือใบรับรองเหล่านี้ ดูใบรับรองทั้งหมดที่ทีมถือ
สายมือถือ
- eMAPT
- GMOB
ทีมถือใบรับรองสายมือถือโดยเฉพาะอย่าง eLearnSecurity Mobile Application Penetration Tester (eMAPT) และ GIAC Mobile Device Security Analyst (GMOB)
มาตรฐาน
- NIST SP800-115
- OWASP MASVS
- OWASP MASTG
การทดสอบของเราเดินตามระเบียบวิธี NIST SP800-115 และยึด OWASP Mobile Application Security Verification Standard (MASVS) กับ Mobile Application Security Testing Guide (MASTG) เป็นแนวทาง เอกสารที่วงการใช้อ้างอิงว่าการประเมินแอปพลิเคชันมือถือที่รอบด้านควรตรวจอะไรบ้าง ถ้า compliance หรือข้อกำหนดของ app store ต้องการ เราปรับงานให้ตรงกับ MASVS verification level ที่เจาะจงได้
บริการที่เกี่ยวข้อง
ทดสอบเจาะระบบ
งานทดสอบมือถือเดินตามกระบวนการห้าขั้นตอนเดียวกับ penetration test อื่นของเรา
PCI DSS penetration test
ถ้าแอปพลิเคชันของคุณจัดการข้อมูลบัตร งานทดสอบมือถือก็ผนวกเข้าไปในขอบเขต PCI DSS ที่กว้างกว่า
ที่ปรึกษา Cyber Security
ถ้าแอปพลิเคชันของคุณประมวลผลข้อมูลส่วนบุคคล ผลการทดสอบจะช่วยให้ทีมที่ปรึกษาของเราวางมาตรการคุ้มครองข้อมูลส่วนบุคคลได้ตรงจุดขึ้น
ตรวจทานล่าสุด: 14 Oct 2026
ทดสอบเจาะระบบแอปพลิเคชันมือถือ
บอกเราว่าแอปพลิเคชันและแพลตฟอร์มไหนอยู่ใน scope เราตกลง build variant ร่วมกับคุณ แล้วส่งข้อเสนอที่ระบุไทม์ไลน์และราคาชัดเจน
คำถามที่พบบ่อย
ทำไมแอปพลิเคชันมือถือต้องทดสอบแยกต่างหากจากการทดสอบเว็บหรือ API?
แอปพลิเคชันมือถือเป็น binary ที่ไปอยู่บนเครื่องที่คุณคุมไม่ได้ ผู้โจมตีจึง decompile แก้ค่าตอนรัน และส่องข้อมูลที่เก็บไว้ในเครื่องได้ตรง ๆ ซึ่งการทดสอบฝั่ง server หรือ API อย่างเดียวไม่มีทางแตะถึง แอปพลิเคชันยังอัปเดตผ่าน app store บ่อย เราจึงแนะนำให้ทดสอบก่อนปล่อยเวอร์ชันใหญ่ และทดสอบซ้ำเมื่อแก้ authentication การชำระเงิน หรือข้อมูลที่เก็บไว้ในเครื่อง
คุณทดสอบแอปพลิเคชันมือถืออย่างไร?
งานทดสอบเดินผ่านการวิเคราะห์สามเฟส ทั้งบน iOS และ Android เริ่มที่ static analysis ทำงานจาก IPA/APK ที่ปล่อยออกมาจริง บน iOS ทำ binary analysis บน Android decompile แล้ว reverse engineer ต่อ จากนั้น dynamic analysis hook แอปพลิเคชันตอนรันเพื่อดัก function call ส่อง storage และ bypass การควบคุม แล้วปิดท้ายด้วย network analysis ดักและแก้ traffic HTTP/TLS เพื่อทดสอบการตรวจ certificate และ transport security ทุกปัญหาผ่านการยืนยันด้วยมือ
คุณทดสอบ backend และ API ที่แอปพลิเคชันคุยด้วยไหม?
ทดสอบ ถ้าอยู่ใน scope ปัญหาอย่าง broken authorization, session handling ที่อ่อน หรือ API key รั่ว มักโผล่ให้เห็นก็ต่อเมื่อดู client กับ server ไปพร้อมกัน งานทดสอบมือถือของเราจึงขยายเข้าไปถึง API และ backend service ที่แอปพลิเคชันพึ่งพาได้ด้วย
คุณครอบคลุมแพลตฟอร์มและมาตรฐานอะไรบ้าง?
iOS และ Android เทียบกับ MASVS และ MASTG โดยมี NIST SP800-115 คุมวิธีเดินงาน เรื่อง MASVS ควรรู้ไว้ก่อนวาง scope เพราะมันแบ่งเป็นระดับการตรวจสอบ คำว่า "ผ่าน MASVS" จึงไม่มีความหมายจนกว่าจะระบุว่าระดับไหน แอปพลิเคชันธนาคารกับเครื่องมือใช้ภายในองค์กรถูกวัดคนละระดับกัน และการเลือกระดับนี้คือสิ่งที่กำหนดทั้งความลึกและราคาของงาน
จากทีมของเรา
ARTICLES/11 Dec 2025
รีวิว GMOB 2025 เนื้อหาสอบและวิธีเตรียมตัว
รีวิวสอบ GMOB 2025 เจาะลึกเนื้อหา Mobile Security ครอบคลุมทั้ง Android และ iOS พร้อมสรุปเทคนิคการใช้เครื่องมือ Pentest และวิธีการทำ Index สำหรับสอบ Open Book เพื่อแนวทางการเตรียมตัวที่ครบถ้วนและตรงจุด
ARTICLES/19 Apr 2025
Reverse Engineering แอปพลิเคชัน React Native ที่ใช้ Hermes: พื้นฐานและ Hermes Bytecode
อธิบายว่า app React Native ที่ใช้ Hermes engine ต่างจาก JavaScriptCore อย่างไร ตรวจสอบได้อย่างไรว่า app ใช้ Hermes และ disassemble Hermes bytecode ด้วย hbcdump พร้อมตัวอย่างจาก DemoSecret app
ARTICLES/29 May 2023
Application Penetration Tester (eMAPT) 2023
วันนี้ผมจะมาเล่าถึงการไปสอบเอา Certificate ที่สายทำ Mobile Application Penetration Testing ต้องมีกัน คือ eLearnSecurity Mobile Application Penetration Tester (eMAPT)
บอกเราว่าแอปพลิเคชันไหนอยู่ใน scope
เราตกลงแอปพลิเคชัน แพลตฟอร์ม และ build variant ร่วมกับคุณ แล้วส่งข้อเสนอที่ระบุไทม์ไลน์และราคาชัดเจน
