MASTG Игровая площадка для взлома

Добро пожаловать в MASTG Игровую площадку для взлома, которая является частью проекта OWASP Mobile Application Security (MAS).

MASTG Игровая площадка для взлома — это коллекция образовательных мобильных приложений для iOS и Android, которые намеренно созданы небезопасными, чтобы дать практические рекомендации разработчикам, специалистам по безопасности и пентестерам.

Уязвимости, используемые в этих приложениях, взяты из Руководства по тестированию безопасности мобильных приложений OWASP (MASTG) (нет полного покрытия всех тестовых сценариев, но вас приглашают расширить текущее покрытие).

• Разработчик может выявить уязвимый код в предоставленных приложениях, увидеть последствия и риски использования таких шаблонов и найти лучшие практики в MASTG для устранения уязвимостей.
• Пентестеры / специалисты по безопасности могут выявить плохие практики, опасные методы и классы, на которые следует обращать внимание при оценке мобильного приложения, и получить больше знаний благодаря информации, представленной в MASTG.
• Также рекомендуется использовать эти приложения в образовательных целях во время тренингов и воркшопов.

Если вы хотите внести свой вклад, пожалуйста, свяжитесь с нами. Например, вы можете:

• Расширить покрытие тестовых сценариев MASTG
• Улучшить пользовательский / хакерский опыт
• Исправить ошибки
• Предложить новые идеи
• и т.д.

ПРИМЕЧАНИЕ: Проект OWASP MAS также включает MASTG Crackmes, которые содержат различные решения, которые помогут вам в процессе реверс-инжиниринга и помогут учиться и практиковаться.

В настоящее время код поддерживается @sushi2k. Если приложение не запускается или есть другая ошибка: создайте issue в этом репозитории.

Android

MASTG Android Java App

• Автор: Sven Schleier
• Поддерживается Sven Schleier

Исходный код можно найти здесь: https://github.com/OWASP/MASTG-Hacking-Playground/tree/master/Android/MSTG-Android-Java-App

Установка

Это приложение совместимо с Android 4.4 и выше. После клонирования репозитория вы можете установить отладочную сборку:

$ adb install Android/MSTG-Android-Java-App/app/build/outputs/apk/debug/app-debug.apk  

APK также доступен на странице релизов.

Скриншот приложения:

Доступные тестовые сценарии

Посмотрите Wiki для описания всех доступных тестовых сценариев в MSTG-Android-Java-App.

MASTG Android Kotlin App

• Автор: Wen Bin Kong
• Поддерживается Sven Schleier

Исходный код можно найти здесь: https://github.com/OWASP/MASTG-Hacking-Playground/tree/master/Android/MSTG-Android-Kotlin-App

Установка

Чтобы использовать Kotlin App, необходимо развернуть бэкенд на Ruby on Rails

Это приложение совместимо с Android 4.4 и выше. После клонирования репозитория вы можете установить отладочную сборку:

$ adb install Android/MSTG-Android-Kotlin-App/app/build/outputs/apk/debug/app-debug.apk

APK также доступен на странице релизов.

Android Studio

Откройте директории проектов Android/MSTG-Android-Kotlin-App/ или Android/MSTG-Android-Java-App/ в Android Studio. Приложения можно скомпилировать с помощью Android Studio 3.5 (проверено).

Чтобы запустить MSTG-Android-Java-App, помимо Android SDK, также должен быть доступен Android NDK. Если NDK недоступен, Android Studio предложит загрузить или указать локальный путь для NDK при открытии проекта. Если отсутствуют части SDK, должно появиться приглашение установить дополнительные компоненты. После этого приложение можно собрать и запустить в эмуляторе или на мобильном устройстве.

iOS

MASTG iOS Swift App

• Автор: Sven Schleier
• Поддерживается Sven Schleier

Исходный код можно найти здесь: https://github.com/OWASP/MASTG-Hacking-Playground/tree/master/iOS/MSTG-JWT

Установка

Чтобы использовать iOS App, необходимо развернуть бэкенд на Ruby on Rails

IPA также доступен на странице релизов.

Существует несколько способов установки IPA; посмотрите в MASTG, чтобы определить, какой из них лучше для вас.

Лицензия

Этот проект использует лицензию GNU General Public License v3.0.

Благодарности

Wen Bin Kong (@kongwenbin) Nikhil Soni (@nikhil) Ryan Teoh (@ryantzj)