Damn Vulnerable Bank

가이드: https://rewanthtammana.com/damn-vulnerable-bank/

애플리케이션 소개

Damn Vulnerable Bank는 의도적으로 취약하게 설계된 안드로이드 애플리케이션입니다. 모든 세부 사항은 가이드에 문서화되어 있으며, 여기에서 확인할 수 있습니다.

예정된 세션

NoNameCon

• https://cfp.nonamecon.org/nnc2021/talk/WCKLTN/

Black Hat Europe

• 추후 결정

기능

• 회원가입
• 로그인
• 내 프로필 인터페이스
• 비밀번호 변경
• 백엔드 URL 업데이트를 위한 설정 인터페이스
• 송금/잔액 조회 전 지문 확인 추가
• 송금/잔액 조회 전 핀 확인 추가
• 잔액 조회
• 송금
  • 수동 입력
  • QR 스캔
• 수취인 추가
• 수취인 삭제
• 수취인 보기
• 거래 내역 보기
• 거래 내역 다운로드

애플리케이션의 취약점 목록

간결하고 재미있게 유지하기 위해 이 섹션을 숨겼습니다. 재미있고 도전적인 경험을 원한다면 이 버튼을 펼치지 마세요. 애플리케이션을 탐색하고 가능한 모든 취약점을 찾은 다음, 이 목록과 자신의 결과를 교차 확인해 보세요.

스포일러 경고

• 루팅 및 에뮬레이터 탐지
• 안티-디버깅 검사 (Frida, jdb 등으로 후킹 방지)
• SSL 핀닝 - 인증서/공개키 고정
• 전체 코드 난독화
• 모든 요청 및 응답 암호화
• 하드코딩된 민감 정보
• Logcat 누출
• 안전하지 않은 저장 (저장된 신용카드 번호 등)
• 내보내진 액티비티
• JWT 토큰
• WebView 통합
• 딥 링크
• IDOR

백엔드 할 일

• 프로필 및 비밀번호 변경 라우트 추가
• 관리자와 일반 사용자용 다른 시크릿 생성
• JWT 토큰 검증을 위한 시크릿 동적 생성 추가
• JWT 검증에 버그 도입
• 데이터베이스 저장 및 Docker 사용 시 마운트 방법 찾기
• 환경 Docker화

핵심 팀

Damn Vulnerable Bank는 다음 사람들이 만들었습니다:

더 읽어보기: 여기.

기여자