脆弱なAndroidコンポーネント - DVAC

シーブの復活！

Damn Vulnerable Android Components（DVAC）は、アクティビティ、インテント、コンテンツプロバイダー、ブロードキャストレシーバーなど、さまざまなAndroidコンポーネントに関連する脆弱性を公開・実証するために意図的に設計された教育用Androidアプリケーションです。パスワード管理アプリケーションとして構成されており、パスワードを安全に管理・保存することを目的としています（笑）。

同様の脆弱性に焦点を当てた先駆的なアプリケーションであるSieveに触発されましたが、Sieveは現在では古く、新しいAndroidバージョンと互換性がありません。DVACは、Androidセキュリティについて学ぶための、最新のモダンなプラットフォームを提供することで、そのギャップを埋めることを目指しています。DVACは、Androidペネトレーションテストやサイバーセキュリティの初心者が、適切な学習ラボを見つけるのが難しいと感じていることを考慮して開発されました。

🇮🇳 インドで手作り

脆弱性

Damn Vulnerable Android Componentsには、合計14の脆弱性があります。

1. ハードコードされた認証情報（Hardcoded Credentials）
2. エクスポートされたActivityを介したログインバイパス（Bypass Login via Exported Activity）
3. 安全でないストレージ（Insecure Storage）
4. 安全でないエクスポートActivityとインテントによるパスワード変更（Insecure Exported Activity With Intent - Changing the password）
5. ブロードキャストレシーバーを介したパスワード変更（Changing the Password via Broadcast Receiver）
6. SQLインジェクション コンテンツプロバイダー（SQL Injection Content Provider）
7. パストラバーサル コンテンツプロバイダー（Path Traversal Content Provider）
8. ポートを介した公開サービス（Exposed Service Over Ports）
9. メッセージングを介した公開サービス（Exposed Service Over Messaging）
10. 権限昇格 - 保留中のインテント（Privilege Escalation - Pending Intent）
11. ブロードキャストレシーバーを介したサービス拒否（Denial Of Service via Broadcast Receiver）
12. ブロードキャストスニッフィング（Broadcast Sniffing）
13. 非エクスポートActivityへのアクセス（Access Non-Exported Activity）
14. 非エクスポートコンテンツプロバイダーへのアクセス（Access Non-Exported Content Provider）

行き詰まった？

公式のWriteupを読んでください - https://medium.com/@zinjacoder/the-dvac-damn-vulnerable-android-components-the-sieve-apk-reborn-writeup-e096600ec27d

🤔 なぜDVACなのか？

DVACの開発は、Androidコンポーネントの脆弱性に焦点を当てた別の脆弱なアプリケーションであるSieve APKに触発されました。しかし、Sieveは古く、新しいバージョンのAndroidでは正しく動作しません。DVACは、最新のAndroidバージョンでも動作しながら、同様の機能を提供することを目的としています。

はじめに

要件

• 仮想デバイスと実機の両方でテスト済み
• Android v12でテスト済み

ダウンロードとインストール

1. Releasesから最新リリースをダウンロードします。
2. 仮想デバイスを使用している場合はドラッグ＆ドロップで、またはadbを使用してインストールします。

adb install DVACv1.apk

スクリーンショット

🤝 コントリビュート

DVACへのコントリビューションを歓迎します！以下の方法でプロジェクトに貢献できます。

• バグの報告：DVACの使用中にバグや問題に遭遇した場合は、GitHubでIssueを開いてください。問題の特定と迅速な修正に役立ちます。

• 問題の修正：開発者の方は、リポジトリの未解決のIssueを修正することを検討してください。あなたの貢献がDVACの全体的な品質向上につながります。

• 機能強化：GitHubでIssueを作成することで、機能強化や新機能を提案できます。DVACをより良くするためのあなたの意見やアイデアを大切にしています。

• フィードバック：DVAC改善のためのフィードバックや提案をお寄せください。あなたの意見は、ユーザーがアプリをどのように使用しているか、そしてどのようにアプリをより有用にできるかを理解するのに役立ちます。

• 情報拡散：ソーシャルメディアや友人、同僚、Androidペネトレーションテストやサイバーセキュリティに関心のあるコミュニティでDVACを共有し、より多くの人に届ける手助けをしてください。

📢 情報を広めよう！ 📢

コントリビューションは非常に簡単で、同様に重要です。以下のことを行うだけです。

1. リポジトリにStarを付ける

DVACが役立つと思ったら、GitHubリポジトリにStarを付けることを検討してください。この簡単な行動は、他のAndroidペネトレーションテスター、開発者、愛好家の間でプロジェクトの認知度を高めるのに役立ちます。

2. 他の人と共有する

DVACを友人、同僚、ソーシャルメディアプラットフォームで共有してください。この教育ツールについて広め、より多くの人がAndroidペネトレーションテストやサイバーセキュリティについて学ぶ手助けをしましょう。

3. Writeupやチュートリアルを書く

DVACでの経験に関するWriteupやチュートリアルは非常に価値があります。アプリを効果的に使用するための洞察、ヒント、コツを共有してください。これらのリソースは、他の人が脆弱性をよりよく理解し、それらを軽減する方法を学ぶのに役立ちます。

4. ソーシャルメディアで存在を知らせる

Twitter、LinkedInなどのソーシャルメディアプラットフォームでDVACを共有してください。サイバーセキュリティ、Android開発、ペネトレーションテストに関連するハッシュタグを使用して、より広いオーディエンスにリーチしましょう。あなたの投稿は、他の人にアプリを探索させ、その開発に貢献することを促すことができます。

DVACへのコントリビューションは簡単で、さまざまな方法で行えます。あなたのサポートと貢献は大いに感謝され、DVACを誰にとってもより良い学習リソースにするのに役立ちます。

⚠️ 警告と法的免責事項

このアプリは学習ツールとして設計されており、教育および倫理的な目的でのみ使用されるべきです。悪意のある行為や違法行為を意図したものではありません。ユーザーは、アプリの使用がすべての該当する法律および規制に準拠していることを確認する責任を単独で負います。このアプリの開発者は、アプリの誤用またはそれによって引き起こされた損害について一切の責任を負いません。

📜 ライセンス

DVACはGNU General Public License（GPL）の下でライセンスされています。これは、誰でも自由に使用、変更、再配布できるオープンソースソフトウェアであることを意味します。ライセンスの全文は、リポジトリ内のLICENSEファイルにあります。

📧 連絡先

ご質問、ご提案、フィードバックがございましたら、以下の連絡先までお気軽にご連絡ください。

LinkedIn: jafar-pathan Twitter: @zinja_coder Threads: jafar.khan.pathan_

🌱 サポート

私の他のプロジェクト

The Browser Bruter: 史上初の！ ブラウザベースのWebアプリケーションペネトレーションテスティングツール。