igoat

OWASP iGoat - Uno strumento di apprendimento per il Pentesting di App iOS e la Sicurezza di Swaroop Yermalkar

OWASP iGoat - Uno strumento di apprendimento per il pentesting e la sicurezza di app iOS

iGoat è uno strumento di apprendimento per sviluppatori iOS (iPhone, iPad, ecc.) e pentester di app mobili. È stato ispirato dal progetto WebGoat e ha un flusso concettuale simile.

Come tale, iGoat è un ambiente sicuro in cui gli sviluppatori iOS possono imparare le principali insidie di sicurezza che affrontano e come evitarle. È composto da una serie di lezioni, ciascuna delle quali insegna una singola (ma vitale) lezione di sicurezza.

Le lezioni sono organizzate nei seguenti passaggi:

1. Breve introduzione al problema.
2. Verifica il problema sfruttandolo.
3. Breve descrizione delle possibili soluzioni al problema.
4. Risolvi il problema correggendo e ricostruendo il programma iGoat.

Il passaggio 4 è opzionale, ma fortemente raccomandato per tutti gli sviluppatori iOS. L'assistenza è disponibile all'interno di iGoat se non sai come risolvere un problema specifico.

Documentazione: Guida iGoat

Dettagli del progetto

Pagina - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

Responsabile del progetto - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

Sviluppatore principale - Anthony Gonsalves

Vulnerabilità coperte (versione 3.0):

• Gestione delle chiavi

  • Chiavi di crittografia hardcoded
  • Archiviazione lato server delle chiavi
  • Generazione casuale delle chiavi

• Attacco URL Scheme

• Ingegneria sociale

• Reverse engineering

  • Analisi delle stringhe

• Protezione dei dati (a riposo)

  • Archiviazione locale dei dati (SQLite)
  • Archiviazione Plist
  • Utilizzo del Keychain
  • Archiviazione NSUserDefaults

• Protezione dei dati (in transito)

  • Comunicazione con il server
  • Pinning della chiave pubblica

• Autenticazione

  • Autenticazione remota

• Perdite di dati tramite canali laterali

  • Log di dispositivo
  • Taglia e incolla
  • Messa in background
  • Registrazione delle sequenze di tasti

• Manomissione

  • Method Swizzling

• Difetti di injection

  • SQL Injection
  • Cross Site Scripting

• Crittografia non sicura

Come contribuire?

• Puoi aggiungere nuovi esercizi
• Testare iGoat e verificare eventuali problemi
• Suggerirci nuovi attacchi
• Scrivere blog/articoli su iGoat
• Diffondere iGoat :)

Per contribuire al progetto iGoat, contatta Swaroop ( [email protected] o @swaroopsy )

Contributori del progetto -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro