💳 App mobile Vulnerable Bank

Vulnerable Bank è un'applicazione mobile volutamente insicura progettata per ingegneri della sicurezza, penetration tester e studenti di sicurezza delle app mobili per esercitarsi e dimostrare lo sfruttamento reale di pratiche di codifica insicure.

Questa app mobile funge da frontend per la Vulnerable Bank API, un'API web volutamente vulnerabile con funzionalità bancarie tipiche.

📥 Scarica ed esegui subito (Consigliato)

🆕 Ora puoi scaricare l'.apk compilato direttamente dalle GitHub Releases.

• 📦 Scarica l'ultima APK
• ⚠️ Abilita Installa app sconosciute sul tuo dispositivo Android
• 🚫 Non c'è bisogno di compilare nulla — basta installare e iniziare a testare!

Questa APK include tutte le funzionalità vulnerabili, i segreti statici e funziona offline con il tuo server API auto-ospitato.

📲 Funzionalità

• 🔓 Login insicuro con credenziali hardcoded
• 🔍 Endpoint API di debug esposto nell'APK
• 🛑 Archiviazione in chiaro di credenziali e saldo in SharedPreferences
• 🔑 Token JWT hardcoded nel codice sorgente
• 🔒 Vulnerabilità OWASP Mobile Top 10 tra cui:
  • M1: Uso improprio della piattaforma
  • M2: Archiviazione non sicura dei dati
  • M4: Autenticazione non sicura
  • M5: Crittografia insufficiente
  • M9: Reverse engineering
• 💾 Segreti statici esposti in AndroidManifest.xml
• 📱 Emula un'app bancaria realistica con:
  • Controllo del saldo
  • Trasferimento di denaro
  • Storico delle transazioni
  • Prestiti
  • Carte virtuali
  • Pannello nascosto riservato all'amministratore

🧪 A chi è rivolto?

Professionisti della sicurezza, studenti ed educatori che vogliono:

• Esercitarsi nei test di sicurezza Android (JADX, Frida, MobSF, Burp Suite, ecc.)
• Dimostrare i rischi OWASP Mobile Top 10
• Costruire o fare demo di pipeline DevSecOps mobile
• Eseguire scenari Capture-the-Flag (CTF) o laboratori interni di red team

🚧 Costruiscilo da solo (Opzionale)

🧱 Requisiti

• Node.js v18+
• Android Studio (con emulatore o dispositivo fisico)
• Java JDK 11+
• Git

📦 Installazione

git clone https://github.com/Commando-X/vuln-bank-mobile
cd vuln-bank-mobile
npm install

Avvia il server Metro:

npx react-native start

In un altro terminale:

npx react-native run-android

⚠️ Se stai testando su un dispositivo reale, assicurati di:

• Aggiornare API_BASE in App.tsx con l'IP del tuo server
• Consentire il traffico HTTP impostando android:usesCleartextTraffic="true" nel manifest

🧠 Sfide di sicurezza divertenti all'interno

• Riesci a estrarre il JWT dell'amministratore?
• Riesci a scoprire l'API di debug e accedere ai dati utente nascosti?
• Riesci a fare reverse engineering dell'APK e trovare le credenziali in SharedPreferences?
• Riesci a manomettere le richieste API?

🧑‍💻 Note per gli sviluppatori

• Scritto in React Native (TypeScript)
• Icone da react-native-vector-icons
• Adatto all'emulatore, ma può essere compilato per dispositivi Android reali
• Segreti inseriti deliberatamente in:
  • codice sorgente Java/Kotlin
  • SharedPreferences
  • AndroidManifest.xml

🛡 Dichiarazione di non responsabilità

Questa app è pensata esclusivamente per scopi educativi.
NON installare questa app su dispositivi reali in produzione né usarla con dati finanziari reali.
Tutti gli endpoint API sono intenzionalmente insicuri e dovrebbero essere usati solo in ambienti di test isolati.

📸 Schermate

👨‍🎓 Autore

Badmus Al-Amir
Ingegnere della Sicurezza • Sostenitore della Sicurezza delle API • Educatore di sicurezza delle app mobili
LinkedIn • GitHub

📂 Progetti correlati

• 💻 Vulnerable Bank API (Flask)
• 📱 Script per test Android statici/dinamici (Frida, MobSF, ecc.)

🏁 Licenza

MIT — usala, rompila, insegnaci con essa 🧠