igoat

---

OWASP iGoat バージョンを選択:

iGoat (Objective C) は以下のイベントで発表されました:        

OWASP iGoat - iOSアプリのペネトレーションテストとセキュリティのための学習ツール

iGoatは、iOS開発者（iPhone、iPadなど）とモバイルアプリのペネトレーションテスター向けの学習ツールです。WebGoatプロジェクトに触発されており、同様の概念的な流れを持っています。

そのため、iGoatはiOS開発者が直面する主要なセキュリティの落とし穴とその回避方法を学ぶための安全な環境です。各レッスンは単一であるが重要なセキュリティレッスンを教える一連のレッスンで構成されています。

レッスンは以下のステップで構成されています:

1. 問題の簡単な紹介。
2. 問題を悪用して検証する。
3. 問題に対する利用可能な修正の簡単な説明。
4. 問題を修正し、iGoatプログラムを修正して再構築する。

ステップ4はオプションですが、すべてのiOS開発者に強く推奨されます。特定の問題の修正方法がわからない場合、iGoat内で支援が利用できます。

ドキュメント: iGoat ガイド

プロジェクト詳細

ページ - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

プロジェクトリーダー - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

リード開発者 - Anthony Gonsalves

対象脆弱性（バージョン3.0）:

• 鍵管理

  • ハードコードされた暗号鍵
  • サーバーサイドの鍵保管
  • ランダム鍵生成

• URLスキーム攻撃

• ソーシャルエンジニアリング

• リバースエンジニアリング

  • 文字列分析

• データ保護（保存時）

  • ローカルデータストレージ（SQLite）
  • Plistストレージ
  • キーチェーン使用
  • NSUserDefaultsストレージ

• データ保護（転送時）

  • サーバー通信
  • 公開鍵ピンニング

• 認証

  • リモート認証

• サイドチャネルデータ漏洩

  • デバイスログ
  • カットアンドペースト
  • バックグラウンド処理
  • キーストロークロギング

• 改ざん

  • メソッドスウィズリング

• インジェクションの欠陥

  • SQLインジェクション
  • クロスサイトスクリプティング

• 脆弱な暗号

貢献方法は？

• 新しい演習を追加できます
• iGoatをテストし、問題がないか確認する
• 新しい攻撃を提案する
• iGoatに関するブログや記事を書く
• iGoatを広める :)

iGoatプロジェクトに貢献するには、Swaroop ( [email protected] または @swaroopsy ) までご連絡ください。

プロジェクト貢献者 -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro