igoat

OWASP iGoat - Uma Ferramenta de Aprendizado para Pentest e Segurança de Aplicativos iOS por Swaroop Yermalkar

OWASP iGoat - Uma Ferramenta de Aprendizado para Testes de Segurança em Apps iOS

iGoat é uma ferramenta de aprendizado para desenvolvedores iOS (iPhone, iPad, etc.) e testadores de penetração de aplicativos móveis. Foi inspirado pelo projeto WebGoat e tem um fluxo conceitual semelhante.

Como tal, iGoat é um ambiente seguro onde desenvolvedores iOS podem aprender sobre as principais armadilhas de segurança que enfrentam, bem como como evitá-las. É composto por uma série de lições, cada uma ensinando uma única (mas vital) lição de segurança.

As lições são organizadas nas seguintes etapas:

1. Breve introdução ao problema.
2. Verifique o problema explorando-o.
3. Breve descrição das correções disponíveis para o problema.
4. Corrija o problema corrigindo e reconstruindo o programa iGoat.

A etapa 4 é opcional, mas altamente recomendada para todos os desenvolvedores iOS. A assistência está disponível dentro do iGoat se você não souber como corrigir um problema específico.

Documentação: iGoat Guide

Detalhes do Projeto

Página - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

Líder do Projeto - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

Desenvolvedor Principal - Anthony Gonsalves

Vulnerabilidades Abordadas (versão 3.0):

• Gerenciamento de Chaves

  • Chaves de Criptografia Embutidas
  • Armazenamento de Chaves no Lado do Servidor
  • Geração Aleatória de Chaves

• Ataque de Esquema de URL

• Engenharia Social

• Engenharia Reversa

  • Análise de Strings

• Proteção de Dados (em Repouso)

  • Armazenamento Local de Dados (SQLite)
  • Armazenamento em Plist
  • Uso do Keychain
  • Armazenamento em NSUserDefaults

• Proteção de Dados (em Trânsito)

  • Comunicação com o Servidor
  • Fixação de Chave Pública

• Autenticação

  • Autenticação Remota

• Vazamentos de Dados por Canais Laterais

  • Logs do Dispositivo
  • Recortar e Colar
  • Execução em Segundo Plano
  • Registro de Teclas

• Adulteração

  • Method Swizzling

• Falhas de Injeção

  • Injeção de SQL
  • Cross Site Scripting

• Criptografia Quebrada

Como contribuir?

• Você pode adicionar novos exercícios
• Testar o iGoat e verificar se há problemas
• Sugerir novos ataques para nós
• Escrever blogs/artigos sobre o iGoat
• Espalhar o iGoat :)

Para contribuir com o projeto iGoat, entre em contato com Swaroop ( [email protected] ou @swaroopsy )

Colaboradores do Projeto -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro