igoat

OWASP iGoat - Обучающий инструмент для пентеста и безопасности iOS-приложений от Swaroop Yermalkar

OWASP iGoat - Обучающий инструмент по тестированию на проникновение и безопасности iOS-приложений

iGoat — это обучающий инструмент для iOS-разработчиков (iPhone, iPad и т.д.) и специалистов по тестированию мобильных приложений на проникновение. Он вдохновлён проектом WebGoat и имеет схожую концептуальную структуру.

Таким образом, iGoat — это безопасная среда, где iOS-разработчики могут изучить основные угрозы безопасности, с которыми они сталкиваются, а также способы их избежать. Он состоит из серии уроков, каждый из которых посвящён одному (но жизненно важному) аспекту безопасности.

Уроки построены по следующему принципу:

1. Краткое введение в проблему.
2. Проверка проблемы путём её эксплуатации.
3. Краткое описание доступных мер по устранению проблемы.
4. Исправление проблемы путём корректировки и пересборки программы iGoat.

Шаг 4 является необязательным, но настоятельно рекомендуется для всех iOS-разработчиков. Внутри iGoat доступна помощь, если вы не знаете, как исправить конкретную проблему.

Документация: Руководство iGoat

Детали проекта

Страница - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

Руководитель проекта - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

Ведущий разработчик - Anthony Gonsalves

Охватываемые уязвимости (версия 3.0):

• Управление ключами

  • Жёстко заданные ключи шифрования
  • Хранение ключей на стороне сервера
  • Генерация случайных ключей

• Атака через URL-схемы

• Социальная инженерия

• Обратная разработка

  • Анализ строк

• Защита данных (в состоянии покоя)

  • Локальное хранение данных (SQLite)
  • Хранение в Plist
  • Использование Keychain
  • Хранение в NSUserDefaults

• Защита данных (при передаче)

  • Взаимодействие с сервером
  • Привязка публичного ключа (Public Key Pinning)

• Аутентификация

  • Удалённая аутентификация

• Утечки данных по побочным каналам

  • Журналы устройства
  • Копирование и вставка
  • Работа в фоновом режиме
  • Логирование нажатий клавиш

• Подмена (Tampering)

  • Method Swizzling

• Недостатки внедрения

  • SQL-инъекции
  • Межсайтовый скриптинг (XSS)

• Нарушенная криптография

Как внести вклад?

• Вы можете добавить новые упражнения
• Протестировать iGoat и проверить, нет ли проблем
• Предложить нам новые атаки
• Писать блоги / статьи о iGoat
• Распространять iGoat :)

Для участия в проекте iGoat, пожалуйста, свяжитесь с Swaroop ( [email protected] или @swaroopsy )

Участники проекта -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro