Damn Vulnerable Bank

الدليل: https://rewanthtammana.com/damn-vulnerable-bank/

حول التطبيق

Damn Vulnerable Bank هو تطبيق أندرويد مصمم ليكون ضعيفًا عمدًا. جميع التفاصيل موثقة في الدليل، هنا.

الجلسات القادمة

NoNameCon

• https://cfp.nonamecon.org/nnc2021/talk/WCKLTN/

Black Hat Europe

• TBD

الميزات

• التسجيل
• تسجيل الدخول
• واجهة ملفي الشخصي
• تغيير كلمة المرور
• واجهة الإعدادات لتحديث عنوان URL للخادم الخلفي
• إضافة فحص بصمة الإصبع قبل التحويل/عرض الأموال
• إضافة فحص رمز PIN قبل التحويل/عرض الأموال
• عرض الرصيد
• تحويل الأموال
  • عبر الإدخال اليدوي
  • عبر مسح رمز QR
• إضافة مستفيد
• حذف مستفيد
• عرض المستفيد
• عرض سجل المعاملات
• تحميل سجل المعاملات

قائمة الثغرات في التطبيق

لإبقاء الأمور واضحة ومثيرة، قمنا بإخفاء هذا القسم. لا تضغط على هذا الزر إذا كنت تريد تجربة ممتعة وتحدي. حاول استكشاف التطبيق، واكتشف جميع الثغرات الممكنة ثم قارن نتائجك مع هذه القائمة.

تحذير من الحرق

• كشف الجذر والمحاكي
• فحوصات مكافحة التصحيح (تمنع الربط مع frida، jdb، إلخ)
• تثبيت SSL - تثبيت الشهادة/المفتاح العام
• تشويش الكود بالكامل
• تشفير جميع الطلبات والاستجابات
• معلومات حساسة مكتوبة بشكل ثابت
• تسريب من Logcat
• تخزين غير آمن (ربما أرقام بطاقات ائتمان مخزنة)
• أنشطة مصدرة
• رمز JWT
• تكامل Webview
• روابط عميقة
• IDOR

مهام الخادم الخلفي

• إضافة مسارات الملف الشخصي وتغيير كلمة المرور
• إنشاء أسرار مختلفة للمسؤول والمستخدمين الآخرين
• إضافة توليد ديناميكي للأسرار للتحقق من رموز JWT
• إدخال خطأ في التحقق من JWT
• إيجاد طريقة لتخزين قاعدة البيانات وتثبيتها عند استخدام Docker
• تحويل البيئة إلى Docker

الفريق الأساسي

Damn Vulnerable Bank تم إنشاؤه بواسطة

Rewanth Tammana (Rest API)	Github	LinkedIn
Akshansh Jaiswal (Android App)	Github	LinkedIn
Hrushikesh Kakade (Android App)	Github	LinkedIn

اقرأ المزيد، هنا.

المساهمون