allsafe
v1.4
AllSafe es una aplicación intencionalmente vulnerable que contiene varias vulnerabilidades. A diferencia de otras aplicaciones vulnerables de Android, esta es menos como un CTF y más como una aplicación de la vida real que utiliza bibliotecas y tecnologías modernas. Además, he incluido algunos desafíos basados en Frida para que explore. ¡Diviértete y feliz hacking!
Tengo mis scripts Frida (más como plantillas) en otro repositorio. Estoy seguro de que podrían ser bastante útiles para las tareas relacionadas con Frida. Mira: https://github.com/t0thkr1s/frida
Vulnerabilidad de divulgación de información simple. Use la herramienta de línea de comandos logcat para descubrir información confidencial.
Algunas credenciales quedan en el código. Su tarea es realizar ingeniería inversa de la aplicación y encontrar información confidencial.
Esto es puramente para la práctica de Frida. ¡Haga que el código crea que su dispositivo no está rooteado!
La carga de módulos de forma segura con aplicaciones de terceros no es fácil. ¡Escribe una aplicación POC y explota la vulnerabilidad!
Otra tarea basada en Frida. No hay vulnerabilidad real aquí, ¡solo diviértete sin pasar por la bandera segura!
La fijación del certificado se implementa utilizando la biblioteca OKHTTP. Debe evitarlo para ver el tráfico con Burp Suite.
Hay un receptor de transmisión vulnerable en la aplicación. ¡Actualice con los datos correctos y ya está!
Similar al receptor de transmisión inseguro, ¡debe proporcionar el parámetro de consulta correcto para completar esta tarea!
Solo una inyección SQL regular que encontraría en aplicaciones web. No es necesario revertir el código para evitar el mecanismo de inicio de sesión.
También puede completar esta tarea sin descomponer la aplicación. ¡Haga un diálogo de alerta y lea archivos!
En esta tarea, debe modificar el flujo de ejecución de la aplicación editando el código SMALI. Finalmente, reconstruya y firme el APK!
La aplicación utiliza una biblioteca nativa que valida la contraseña ingresada. Invierta la ingeniería de la biblioteca para encontrar la contraseña y luego use Frida para enganchar el método nativo.
¿Notó un error? ¿Tiene una sugerencia? ¡No dude en abrir un problema o crear una solicitud de extracción!
Si este proyecto fue valioso para usted o lo ayudó de alguna manera, considere hacer una pequeña cantidad de donación a través de las siguientes criptomonedas. Dar una estrella en el proyecto también ayuda mucho. ¡Gracias!
Dirección bitcoin ⟹ bc1qd44kvj6zatjgn27n45uxd3nprzt6rm9x9g2yc8
Dirección de Ethereum ⟹ 0x1835a58e866a668c48ee63d32432c7fe28af54b4
Esta herramienta es solo para pruebas y fines académicos y solo se puede utilizar donde se ha dado un consentimiento estricto. ¡No lo use con fines ilegales! Es responsabilidad del usuario final obedecer todas las leyes locales, estatales y federales aplicables. Los desarrolladores no asumen ninguna responsabilidad y no son responsables del mal uso o daño causado por esta herramienta y software.
Este proyecto tiene licencia bajo la licencia GPLV3; consulte el archivo de licencia para obtener más detalles.
