💳 Vulnerable Bank Mobile App

Vulnerable Bank ist eine absichtlich unsichere mobile Anwendung, die für Sicherheitsingenieure, Penetrationstester und Lernende im Bereich mobiler App-Sicherheit entwickelt wurde, um die Ausnutzung unsicherer Codierungspraktiken in der Praxis zu üben und zu demonstrieren.

Diese mobile App dient als Frontend für die Vulnerable Bank API, eine absichtlich verwundbare Web-API mit typischen Banking-Funktionen.

📥 Jetzt herunterladen und sofort ausführen (empfohlen)

🆕 Du kannst die kompilierte .apk jetzt direkt über die GitHub-Releases herunterladen.

• 📦 Neueste APK herunterladen
• ⚠️ Aktiviere Unbekannte Apps installieren auf deinem Android-Gerät
• 🚫 Kein Build erforderlich – einfach installieren und mit dem Testen beginnen!

Diese APK enthält alle verwundbaren Funktionen und statischen Geheimnisse und funktioniert offline mit deinem eigenen gehosteten API-Server.

📲 Funktionen

• 🔓 Unsicheres Login mit fest verdrahteten Anmeldedaten
• 🔍 Debug-API-Endpunkt in der APK offengelegt
• 🛑 Klartext-Speicherung von Anmeldedaten und Kontostand in SharedPreferences
• 🔑 Fest verdrahtete JWT-Tokens im Quellcode
• 🔒 OWASP Mobile Top 10 Schwachstellen, darunter:
  • M1: Unsachgemäße Plattformnutzung
  • M2: Unsichere Datenspeicherung
  • M4: Unsichere Authentifizierung
  • M5: Unzureichende Kryptografie
  • M9: Reverse Engineering
• 💾 Statische Geheimnisse in AndroidManifest.xml offengelegt
• 📱 Emuliert eine realistische Banking-App mit:
  • Kontostandsabfrage
  • Geldtransfer
  • Transaktionsverlauf
  • Kredite
  • Virtuelle Karten
  • Verstecktes Panel nur für Admins

🧪 Für wen ist es gedacht?

Sicherheitsexperten, Studierende und Lehrende, die Folgendes möchten:

• Android-Sicherheitstests üben (JADX, Frida, MobSF, Burp Suite usw.)
• OWASP Mobile Top 10 Risiken demonstrieren
• Mobile DevSecOps-Pipelines erstellen oder demonstrieren
• Capture-the-Flag-Szenarien (CTF) oder interne Red-Team-Labs durchführen

🚧 Selbst erstellen (optional)

🧱 Voraussetzungen

• Node.js v18+
• Android Studio (mit Emulator oder physischem Gerät)
• Java JDK 11+
• Git

📦 Installation

git clone https://github.com/Commando-X/vuln-bank-mobile
cd vuln-bank-mobile
npm install

Metro-Server starten:

npx react-native start

In einem anderen Terminal:

npx react-native run-android

⚠️ Wenn du auf einem echten Gerät testest, stelle Folgendes sicher:

• Aktualisiere API_BASE in App.tsx mit der IP deines Servers
• Erlaube HTTP-Datenverkehr, indem du android:usesCleartextTraffic="true" in deinem Manifest setzt

🧠 Unterhaltsame Sicherheits-Herausforderungen im Inneren

• Kannst du das Admin-JWT extrahieren?
• Kannst du die Debug-API entdecken und auf versteckte Benutzerdaten zugreifen?
• Kannst du die APK per Reverse Engineering analysieren und Anmeldedaten in SharedPreferences finden?
• Kannst du API-Anfragen manipulieren?

🧑‍💻 Entwicklerhinweise

• Geschrieben in React Native (TypeScript)
• Symbole von react-native-vector-icons
• Emulatorfreundlich, aber auch für echte Android-Geräte bündelbar
• Geheimnisse absichtlich platziert in:
  • Java/Kotlin-Quellcode
  • SharedPreferences
  • AndroidManifest.xml

🛡 Haftungsausschluss

Diese App ist ausschließlich für Bildungszwecke gedacht.
Installiere diese App NICHT auf echten Produktionsgeräten und verwende sie nicht mit echten Finanzdaten.
Alle API-Endpunkte sind absichtlich unsicher und sollten nur in isolierten Testumgebungen verwendet werden.

📸 Screenshots

👨‍🎓 Autor

Badmus Al-Amir
Sicherheitsingenieur • API-Security-Befürworter • Mobile-AppSec-Dozent
LinkedIn • GitHub

📂 Verwandte Projekte

• 💻 Vulnerable Bank API (Flask)
• 📱 Android-Skripte für statische/dynamische Tests (Frida, MobSF usw.)

🏁 Lizenz

MIT – nutze es, brich es, lehre damit 🧠