igoat

OWASP iGoat - Una herramienta de aprendizaje para pentesting y seguridad de aplicaciones iOS por Swaroop Yermalkar

OWASP iGoat - Una Herramienta de Aprendizaje para Pentesting y Seguridad de Aplicaciones iOS

iGoat es una herramienta de aprendizaje para desarrolladores iOS (iPhone, iPad, etc.) y pentesters de aplicaciones móviles. Fue inspirada por el proyecto WebGoat y tiene un flujo conceptual similar.

Como tal, iGoat es un entorno seguro donde los desarrolladores iOS pueden aprender sobre las principales vulnerabilidades de seguridad que enfrentan, así como cómo evitarlas. Está compuesto por una serie de lecciones que cada una enseña una lección de seguridad única (pero vital).

Las lecciones se presentan en los siguientes pasos:

1. Breve introducción al problema.
2. Verifique el problema explotándolo.
3. Breve descripción de las soluciones disponibles para el problema.
4. Solucione el problema corrigiendo y reconstruyendo el programa iGoat.

El paso 4 es opcional, pero muy recomendado para todos los desarrolladores iOS. Hay asistencia disponible dentro de iGoat si no sabe cómo solucionar un problema específico.

Documentación: iGoat Guide

Detalles del Proyecto

Página - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

Líder del Proyecto - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

Desarrollador Principal - Anthony Gonsalves

Vulnerabilidades Cubiertas (versión 3.0):

• Gestión de Claves

  • Claves de Cifrado Hardcodeadas
  • Almacenamiento de Claves del Lado del Servidor
  • Generación de Claves Aleatorias

• Ataque de Esquema de URL

• Ingeniería Social

• Ingeniería Inversa

  • Análisis de Cadenas

• Protección de Datos (En Reposo)

  • Almacenamiento Local de Datos (SQLite)
  • Almacenamiento en Plist
  • Uso de Keychain
  • Almacenamiento en NSUserDefaults

• Protección de Datos (En Tránsito)

  • Comunicación con el Servidor
  • Fijación de Clave Pública

• Autenticación

  • Autenticación Remota

• Fugas de Datos por Canales Laterales

  • Registros del Dispositivo
  • Cortar y Pegar
  • Ejecución en Segundo Plano
  • Registro de Teclas

• Manipulación

  • Method Swizzling

• Vulnerabilidades de Inyección

  • Inyección SQL
  • Cross Site Scripting

• Criptografía Rota

¿Cómo contribuir?

• Puede agregar nuevos ejercicios
• Probar iGoat y verificar si hay algún problema
• Sugerir nuevos ataques
• Escribir blogs/artículos sobre iGoat
• Difundir iGoat :)

Para contribuir al proyecto iGoat, por favor contacte a Swaroop ( [email protected] o @swaroopsy )

Contribuyentes del Proyecto -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro