💳 Application Bancaire Vulnérable Mobile

Vulnerable Bank est une application mobile intentionnellement vulnérable conçue pour les ingénieurs en sécurité, les testeurs d'intrusion et les apprenants en sécurité mobile afin de pratiquer et démontrer l'exploitation réelle de pratiques de codage non sécurisées.

Cette application mobile sert de frontend pour l'API Vulnerable Bank, une API web délibérément vulnérable avec des fonctionnalités bancaires typiques.

---

📥 Téléchargement et Exécution Instantanée (Recommandé)

🆕 Vous pouvez désormais télécharger l'.apk compilé directement depuis les versions GitHub.

• 📦 Télécharger le dernier APK
• ⚠️ Activez l'Installation d'applications inconnues sur votre appareil Android
• 🚫 Pas besoin de construire quoi que ce soit — installez et commencez à tester !

Cet APK inclut toutes les fonctionnalités vulnérables, les secrets statiques, et fonctionne hors ligne avec votre propre serveur API hébergé.

---

📲 Fonctionnalités

• 🔓 Connexion non sécurisée avec des identifiants codés en dur
• 🔍 Point de terminaison d'API de débogage exposé dans l'APK
• 🛑 Stockage en texte clair des identifiants et du solde dans SharedPreferences
• 🔑 Jetons JWT codés en dur dans le code source
• 🔒 Vulnérabilités OWASP Mobile Top 10 incluant :
  • M1 : Utilisation inappropriée de la plateforme
  • M2 : Stockage de données non sécurisé
  • M4 : Authentification non sécurisée
  • M5 : Cryptographie insuffisante
  • M9 : Ingénierie inverse
• 💾 Secrets statiques exposés dans AndroidManifest.xml
• 📱 Émule une application bancaire réaliste avec :
  • Vérification du solde
  • Transfert d'argent
  • Historique des transactions
  • Prêts
  • Cartes virtuelles
  • Panneau caché réservé à l'administrateur

---

🧪 À qui cela s'adresse-t-il ?

Professionnels de la sécurité, étudiants et éducateurs qui souhaitent :

• Pratiquer les tests de sécurité Android (JADX, Frida, MobSF, Burp Suite, etc.)
• Démontrer les risques OWASP Mobile Top 10
• Construire ou démontrer des pipelines DevSecOps mobiles
• Exécuter des scénarios Capture-the-Flag (CTF) ou des laboratoires de red team internes

---

🚧 Construisez-le vous-même (Optionnel)

🧱 Prérequis

• Node.js v18+
• Android Studio (avec émulateur ou appareil physique)
• Java JDK 11+
• Git

📦 Installation

git clone https://github.com/Commando-X/vuln-bank-mobile
cd vuln-bank-mobile
npm install

Démarrer le serveur Metro :

npx react-native start

Dans un autre terminal :

npx react-native run-android

⚠️ Si vous testez sur un appareil réel, assurez-vous de :

• Mettre à jour API_BASE dans App.tsx avec l'IP de votre serveur
• Autoriser le trafic HTTP en définissant android:usesCleartextTraffic="true" dans votre manifest

---

🧠 Défis de sécurité amusants à l'intérieur

• Pouvez-vous extraire le JWT administrateur ?
• Pouvez-vous découvrir l'API de débogage et accéder aux données utilisateur cachées ?
• Pouvez-vous rétro-ingénier l'APK et trouver les identifiants dans SharedPreferences ?
• Pouvez-vous falsifier les requêtes API ?

---

🧑‍💻 Notes de développement

• Écrit en React Native (TypeScript)
• Icônes de react-native-vector-icons
• Compatible avec l'émulateur, mais peut être empaqueté pour de vrais appareils Android
• Secrets délibérément placés dans :
  • Code source Java/Kotlin
  • SharedPreferences
  • AndroidManifest.xml

---

🛡 Avertissement

Cette application est destinée strictement à des fins éducatives.
N'installez PAS cette application sur de vrais appareils de production ou utilisez-la avec de vraies données financières.
Tous les points de terminaison API sont intentionnellement non sécurisés et ne doivent être utilisés que dans des environnements de test isolés.

---

📸 Captures d'écran

---

👨‍🎓 Auteur

Badmus Al-Amir
Ingénieur en sécurité • Défenseur de la sécurité API • Éducateur en sécurité mobile
LinkedIn • GitHub

---

📂 Projets connexes

• 💻 API Vulnerable Bank (Flask)
• 📱 Scripts de test statique/dynamique Android (Frida, MobSF, etc)

---

🏁 Licence

MIT — utilisez-le, cassez-le, enseignez avec 🧠