MASTG Hacking Playground

Benvenuti nel MASTG Hacking Playground, che fa parte del progetto OWASP Mobile Application Security (MAS).

Il MASTG Hacking Playground è una raccolta di app mobili educative per iOS e Android, costruite intenzionalmente insicure per fornire una guida pratica a sviluppatori, ricercatori di sicurezza e penetration tester.

Le vulnerabilità utilizzate in queste app provengono dalla OWASP Mobile Application Security Testing Guide (MASTG) (non c'è una copertura completa di tutti i casi di test, ma siete invitati ad estendere la copertura attuale).

• Uno sviluppatore può identificare codice vulnerabile nelle app fornite e può vedere le implicazioni e i rischi se tali pattern vengono utilizzati e può cercare le best practice nella MASTG per mitigare le vulnerabilità.
• I penetration tester / ricercatori di sicurezza possono identificare pratiche scorrette, metodi e classi pericolosi da cercare quando valutano un'app mobile e possono acquisire maggiore conoscenza attraverso le informazioni fornite nella MASTG.
• Si incoraggia anche a utilizzare queste app a scopo educativo durante corsi di formazione e workshop.

Se vuoi contribuire, per favore contattaci. Per esempio, potresti:

• Estendere la copertura dei casi di test della MASTG
• Migliorare l'esperienza utente / hacker
• Correggere i bug
• Proporre nuove idee
• ecc.

NOTA: Il progetto OWASP MAS include anche i MASTG Crackmes che contengono varie soluzioni che possono guidarti attraverso il processo di reverse engineering e aiutarti a imparare e fare pratica.

Attualmente, il codice è mantenuto da @sushi2k. Se l'app non si avvia, o se c'è un altro bug: apri una segnalazione in questo repository.

Android

MASTG Android Java App

• Autore: Sven Schleier
• Mantenuto da Sven Schleier

I sorgenti si trovano qui: https://github.com/OWASP/MASTG-Hacking-Playground/tree/master/Android/MSTG-Android-Java-App

Installazione

Questa app è compatibile con Android 4.4 e versioni successive. Una volta clonato il repository puoi installare la build di debug:

$ adb install Android/MSTG-Android-Java-App/app/build/outputs/apk/debug/app-debug.apk  

L'APK è anche disponibile nella pagina delle release.

Screenshot dell'app:

Casi di test disponibili

Controlla la Wiki per una descrizione di tutti i casi di test disponibili nella MSTG-Android-Java-App.

MASTG Android Kotlin App

• Autore: Wen Bin Kong
• Mantenuto da Sven Schleier

I sorgenti si trovano qui: https://github.com/OWASP/MASTG-Hacking-Playground/tree/master/Android/MSTG-Android-Kotlin-App

Installazione

Per utilizzare l'app Kotlin è necessario distribuire il backend Ruby on Rails

Questa app è compatibile con Android 4.4 e versioni successive. Una volta clonato il repository puoi installare la build di debug:

$ adb install Android/MSTG-Android-Kotlin-App/app/build/outputs/apk/debug/app-debug.apk

L'APK è anche disponibile nella pagina delle release.

Android Studio

Apri le directory del progetto Android/MSTG-Android-Kotlin-App/ o Android/MSTG-Android-Java-App/ in Android Studio. Le app possono essere compilate con Android Studio 3.5 (testato).

Per far funzionare la MSTG-Android-Java-App, oltre all'Android SDK, è necessario che sia disponibile anche l'Android NDK. Se l'NDK non è disponibile, Android Studio chiederà di scaricarlo o specificare un percorso locale per l'NDK quando il progetto viene aperto. Se mancano parti dell'SDK, dovrebbe apparire un prompt per installare i requisiti aggiuntivi. Successivamente, l'app può essere compilata ed eseguita in un emulatore o su un dispositivo mobile.

iOS

MASTG iOS Swift App

• Autore: Sven Schleier
• Mantenuto da Sven Schleier

I sorgenti si trovano qui: https://github.com/OWASP/MASTG-Hacking-Playground/tree/master/iOS/MSTG-JWT

Installazione

Per utilizzare l'app iOS è necessario distribuire il backend Ruby on Rails

L'IPA è anche disponibile nella pagina delle release.

Ci sono diversi modi disponibili per installare un IPA; dai un'occhiata alla MASTG per identificare quale sia il migliore per te.

Licenza

Questo progetto utilizza la GNU General Public License v3.0.

Riconoscimenti

Wen Bin Kong (@kongwenbin) Nikhil Soni (@nikhil) Ryan Teoh (@ryantzj)