igoat

---

选择 OWASP iGoat 版本：

iGoat（Objective C）曾在以下会议展示：        

OWASP iGoat - iOS 应用渗透测试与安全的学习工具

iGoat 是一款面向 iOS 开发者（iPhone、iPad 等）和移动应用渗透测试人员的学习工具。它受 WebGoat 项目启发，并具备类似的概念流程。

因此，iGoat 提供了一个安全的环境，让 iOS 开发者能够了解他们面临的主要安全隐患以及如何避免它们。它由一系列课程组成，每节课都教授一个单一但至关重要的安全知识。

课程按以下步骤展开：

1. 简要介绍问题。
2. 通过利用问题来验证它。
3. 简要描述可用的修复方案。
4. 通过修正并重新构建 iGoat 程序来修复问题。

第 4 步是可选的，但强烈推荐给所有 iOS 开发者。如果你不知道如何修复特定问题，iGoat 内部提供了帮助。

文档：iGoat 指南

项目详情

页面 - https://www.owasp.org/index.php/OWASP_iGoat_Tool_Project

项目负责人 - Swaroop Yermalkar (@swaroopsy)

Twitter - (@OWASPiGoat)

首席开发者 - Anthony Gonsalves

涉及的漏洞（版本 3.0）：

• 密钥管理

  • 硬编码加密密钥
  • 密钥存储（服务器端）
  • 随机密钥生成

• URL Scheme 攻击

• 社会工程学

• 逆向工程

  • 字符串分析

• 数据保护（静态）

  • 本地数据存储（SQLite）
  • Plist 存储
  • 钥匙串使用
  • NSUserDefaults 存储

• 数据保护（传输）

  • 服务器通信
  • 公钥固定

• 身份验证

  • 远程身份验证

• 侧信道数据泄露

  • 设备日志
  • 剪切粘贴
  • 后台运行
  • 键盘记录

• 篡改

  • 方法混淆（Method Swizzling）

• 注入缺陷

  • SQL 注入
  • 跨站脚本攻击

• 脆弱的加密

如何贡献？

• 你可以添加新的练习
• 测试 iGoat 并检查是否存在问题
• 向我们建议新的攻击方式
• 撰写关于 iGoat 的博客/文章
• 推广 iGoat :)

要为 iGoat 项目做贡献，请联系 Swaroop（ [email protected] 或 @swaroopsy ）

项目贡献者 -

• Anthony Gonsalves
• Junard Lebajan (@junard)
• Ken van Wyk
• Arun @he_hacks
• Jonathan Carter
• Heefan
• Tilak Kumar
• Bernhard Mueller
• Sagar Popat
• Chandrakant Nial
• Valligayatri Rachakonda
• Suraj Kumar
• masbog
• Cheena Kathpal
• Matt Tesauro