igoat

OWASP iGoat - Un outil d'apprentissage pour le pentesting et la sécurité des applications iOS par Swaroop Yermalkar

OWASP iGoat - Un outil d'apprentissage pour le pentesting et la sécurité des applications iOS

iGoat est un outil d'apprentissage pour les développeurs iOS (iPhone, iPad, etc.) et les testeurs d'intrusion d'applications mobiles. Il s'inspire du projet WebGoat et possède un flux conceptuel similaire.

En tant que tel, iGoat est un environnement sûr où les développeurs iOS peuvent apprendre les principales failles de sécurité auxquelles ils sont confrontés ainsi que la manière de les éviter. Il est composé d'une série de leçons, chacune enseignant une leçon de sécurité unique (mais vitale).

Les leçons sont organisées selon les étapes suivantes :

1. Brève introduction au problème.
2. Vérifiez le problème en l'exploitant.
3. Brève description des corrections disponibles pour le problème.
4. Corrigez le problème en modifiant et en reconstruisant le programme iGoat.

L'étape 4 est facultative, mais fortement recommandée pour tous les développeurs iOS. Une assistance est disponible dans iGoat si vous ne savez pas comment résoudre un problème spécifique.

Documentation : Guide iGoat

Détails du projet

Page - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

Responsable du projet - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

Développeur principal - Anthony Gonsalves

Vulnérabilités couvertes (version 3.0) :

• Gestion des clés

  • Clés de chiffrement codées en dur
  • Stockage des clés côté serveur
  • Génération aléatoire de clés

• Attaque par schéma d'URL

• Ingénierie sociale

• Rétro-ingénierie

  • Analyse de chaînes

• Protection des données (au repos)

  • Stockage local des données (SQLite)
  • Stockage Plist
  • Utilisation du trousseau (Keychain)
  • Stockage NSUserDefaults

• Protection des données (en transit)

  • Communication serveur
  • Épinglage de clé publique (Public Key Pinning)

• Authentification

  • Authentification à distance

• Fuites de données par canal auxiliaire

  • Journaux de l'appareil
  • Couper-Coller
  • Mise en arrière-plan
  • Enregistrement des frappes

• Altération (Tampering)

  • Méthode Swizzling

• Failles d'injection

  • Injection SQL
  • Cross Site Scripting (XSS)

• Cryptographie défaillante

Comment contribuer ?

• Vous pouvez ajouter de nouveaux exercices
• Tester iGoat et vérifier s'il y a des problèmes
• Nous suggérer de nouvelles attaques
• Rédiger des blogs / articles sur iGoat
• Diffuser iGoat :)

Pour contribuer au projet iGoat, veuillez contacter Swaroop ( [email protected] ou @swaroopsy )

Contributeurs du projet -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro