Descargar MobileApp Pentest Cheatsheet - Descargar código fuente MobileApp Pentest Cheatsheet

MobileApp Pentest Cheatsheet

Otras categorias

1.0.0

Descargar

Hoja de trucos de prueba de penetración de aplicaciones móviles

La hoja de trucos de la aplicación móvil Pentest se creó para proporcionar una recopilación concisa de información de alto valor sobre temas y listas de verificación de pruebas de penetración de aplicaciones móviles específicas, que se asigna OWASP Mobile Risk Top 10 para realizar Pentest.

Distribuciones de pruebas de seguridad de aplicaciones móviles
Marcos de seguridad móviles todo en uno
Prueba de penetración de la aplicación Android
- Ingeniería inversa y análisis estático
- Análisis dinámico y de tiempo de ejecución
- Análisis de red y pruebas del lado del servidor
- Omitiendo la detección de la raíz y la fijación de SSL
- Bibliotecas de seguridad
Prueba de penetración de la aplicación iOS
- Acceder al sistema de archivos en IDEVICE
- Ingeniería inversa y análisis estático
- Análisis dinámico y de tiempo de ejecución
- Análisis de red y pruebas del lado del servidor
- Omitiendo la detección de la raíz y la fijación de SSL
- Bibliotecas de seguridad
Laboratorio de pruebas de penetración móvil
Contribución
Licencia

Distribuciones de pruebas de seguridad de aplicaciones móviles

APPIE: un paquete de software portátil para Android Pentesting y una alternativa increíble a las máquinas virtuales existentes.
Android Tamer: Android Tamer es una plataforma virtual / en vivo para los profesionales de seguridad de Android.
Androl4b: una máquina virtual para evaluar aplicaciones de Android, ingeniería inversa y análisis de malware
Proyecto Vezir - Control de aplicaciones móviles Pentesting y entorno de análisis de malware.
MOBEXLER - MobExler es una máquina virtual personalizada, diseñada para ayudar en las pruebas de penetración de las aplicaciones Android e iOS.

Marcos de seguridad móviles todo en uno

Mobile Security Framework-MobSF-Mobile Security Framework es un marco de prueba de compra automatizado inteligente y todo en uno de aplicaciones móviles de código abierto (Android/iOS) capaz de realizar análisis estáticos y dinámicos.
- python manage.py runserver 127.0.0.1:1337
La aguja: la aguja es un marco modular de código abierto para optimizar el proceso de realización de evaluaciones de seguridad de las aplicaciones iOS que incluyen análisis binario, análisis de código estático, manipulación de tiempo de ejecución utilizando cycript y frida enganches, etc.
Objeción: la objeción es un conjunto de herramientas de exploración móvil de tiempo de ejecución, impulsado por Frida. Se construyó con el objetivo de ayudar a evaluar las aplicaciones móviles y su postura de seguridad sin la necesidad de un dispositivo móvil con jailbroken o rooteado.
RMS-RUNTIME-Mobile-Security-Runtime Mobile Security (RMS), alimentada por Frida, es una poderosa interfaz web que le ayuda a manipular las aplicaciones de Android e iOS en tiempo de ejecución.

Prueba de penetración de la aplicación Android

Ingeniería inversa y análisis estático

APKTOOL: una herramienta para la ingeniería inversa de terceros, aplicaciones de Android binarias cerradas. Puede decodificar recursos para una forma casi original y reconstruirlos después de hacer algunas modificaciones.
- Desmontaje del archivo APK de Android
  - apktool d <apk file>
- Reconstrucción de recursos decodificados a Binary APK/JAR con firma de certificados
  - apktool b <modified folder>
  - keytool -genkey -v -keystore keys/test.keystore -alias Test -keyalg RSA -keysize 1024 -sigalg SHA1withRSA -validity 10000
  - jarsigner -keystore keys/test.keystore dist/test.apk -sigalg SHA1withRSA -digestalg SHA1 Test
Bytecode Viewer - Bytecode Viewer es un espectador de Bytecode Java Ligero avanzado, está escrito completamente en Java y tiene un origen abierto.
JADX - DEX A JAVA DECOMPILER: Línea de comandos y herramientas GUI para producir el código fuente Java de los archivos Android Dex y APK.
APK Studio-IDE basado en la plataforma cruzada de código abierto para paquetes de aplicaciones Android de ingeniería inversa.
OAT2DEX: una herramienta para convertir el archivo .oat en archivos .dex.
- Las clases de arranque de Optimize (la salida estará en carpetas "ODEX" y "DEX")
  - java -jar oat2dex.jar boot <boot.oat file>
- Aplicación desoptimizar
  - java -jar oat2dex.jar <app.odex> <boot-class-folder output from above>
- Obtenga ODEX de OAT
  - java -jar oat2dex.jar odex <oat file>
- Obtener ODEX SMALI (con Código de optimizado) de OAT/ODEX
  - java -jar oat2dex.jar smali <oat/odex file>
Spotbugs - Spotbugs es el sucesor de Findbugs. Una herramienta para el análisis estático para buscar errores en el código Java.
QARK: esta herramienta está diseñada para buscar varias vulnerabilidades de aplicaciones de Android relacionadas con la seguridad, ya sea en código fuente o APK de empaquetado.
Super - Super es una aplicación de línea de comandos que se puede usar en Windows, MacOS X y Linux, que analiza los archivos .APK en busca de vulnerabilidades. Lo hace descomprimiendo APK y aplicando una serie de reglas para detectar esas vulnerabilidades.
Androbugs - Androbugs Framework es un escáner eficiente de vulnerabilidades de Android que ayuda a los desarrolladores o piratas informáticos a encontrar posibles vulnerabilidades de seguridad en las aplicaciones de Android. No es necesario instalar en Windows.
Simplifique: una herramienta para eliminar el paquete de Android en clases.dex que se puede usar Dex2Jar y JD-Gui para extraer contenido del archivo DEX.
- simplify.jar -i "input smali files or folder" -o <output dex file>
ClassnamedEobfuscator: script simple para analizar los archivos .smali producidos por apktool y extraer las líneas de anotación .surce.
Extractor de copia de seguridad de Android: utilidad para extraer y reembolsar las copias de seguridad de Android creadas con copia de seguridad ADB (ICS+). En gran parte basado en BackupManageService.java de AOSP. Consejo !! El comando "Backup de copia de seguridad" ADB "también se puede usar para extraer el paquete de aplicación con el siguiente comando:
- adb backup <package name>
- dd if=backup.ab bs=1 skip=24 | python -c "import zlib,sys;sys.stdout.write(zlib.decompress(sys.stdin.read()))" > backup.tar
GDA (Analizante de Goyjes dex) - GDA, un nuevo descompilador de bytecode Dalvik, se implementa en C ++, que tiene las ventajas de un análisis más rápido y un menor consumo de memoria y disco de memoria y una capacidad más fuerte para descompilar los archivos APK, Dex, ODEX, OAT (apoya los archivos JAR, clase y AAR desde 3.79)

Análisis dinámico y de tiempo de ejecución

Sustrato Cydia: el sustrato Cydia para Android permite a los desarrolladores realizar cambios en el software existente con extensiones de sustrato que se inyectan en la memoria del proceso de destino.
Xposed Framework: Xposed Framework le permite modificar el aspecto y el comportamiento del sistema o la aplicación en tiempo de ejecución, sin modificar ningún paquete de aplicaciones de Android (APK) o volver a flotar.
PID CAT: una actualización del excelente script de color Logcat de Jeff Sharkey que solo muestra entradas de registro para procesos desde un paquete de aplicaciones específico.
Inspeckage: Inspeckage es una herramienta desarrollada para ofrecer un análisis dinámico de aplicaciones de Android. Al aplicar ganchos a las funciones de la API de Android, Inspeckage lo ayudará a comprender lo que una aplicación de Android está haciendo en tiempo de ejecución.
FRIDA: el kit de herramientas funciona con un modelo de cliente cliente y le permite inyectar procesos en ejecución no solo en Android, sino también en iOS, Windows y Mac.
Diff -Gui: un marco web para comenzar a instrumentar con los módulos avalables, engancharse en nativo, inyectar JavaScript usando Frida.
Fridump: Fridump está utilizando el Frida Framework para descargar direcciones de memoria accesibles desde cualquier plataforma admitida. Se puede usar desde un sistema Windows, Linux o Mac OS X para volcar la memoria de una aplicación iOS, Android o Windows.
House: un conjunto de herramientas de análisis de aplicaciones móviles de tiempo de ejecución con una GUI web, impulsada por Frida, está diseñado para ayudar a evaluar las aplicaciones móviles mediante la implementación del enganche e interceptación de funciones dinámicas y está destinada a hacer que la escritura de scripes de Frida sea lo más simple posible.
AndBug - AndBug es un depurador dirigido a la máquina virtual Dalvik de la plataforma Android destinada a ingenieros y desarrolladores inversos.
- Identificar el proceso de aplicación utilizando el shell ADB
  - adb shell ps | grep -i "App keyword"
- Acceder a la aplicación utilizando y Bug para identificar clases cargadas
  - andbug shell -p <process number>
- Rastrear clase específica
  - ct <package name>
- Depuración con JDB
  - adb forward tcp:<port> jdwp:<port>
  - jdb -attach localhost:<port>
Substrato Cydia: Introspy -Android - Blackbox Tool para ayudar a comprender lo que una aplicación de Android está haciendo en tiempo de ejecución y ayudar en la identificación de posibles problemas de seguridad.
DROZER - Drozer le permite buscar vulnerabilidades de seguridad en aplicaciones y dispositivos asumiendo el papel de una aplicación e interactuar con la VM Dalvik, los puntos finales IPC de otras aplicaciones y el sistema operativo subyacente.
- Comenzando una sesión
  - adb forward tcp:31415 tcp:31415
  - drozer console connect
- Recuperación de información del paquete
  - run app.package.list -f <app name>
  - run app.package.info -a <package name>
- Identificar la superficie de ataque
  - run app.package.attacksurface <package name>
- Explotación de actividades
  - run app.activity.info -a <package name> -u
  - run app.activity.start --component <package name> <component name>
- Explotación del proveedor de contenido
  - run app.provider.info -a <package name>
  - run scanner.provider.finduris -a <package name>
  - run app.provider.query <uri>
  - run app.provider.update <uri> --selection <conditions> <selection arg> <column> <data>
  - run scanner.provider.sqltables -a <package name>
  - run scanner.provider.injection -a <package name>
  - run scanner.provider.traversal -a <package name>
- Explotación de receptores de transmisión
  - run app.broadcast.info -a <package name>
  - run app.broadcast.send --component <package name> <component name> --extra <type> <key> <value>
  - run app.broadcast.sniff --action <action>
- Servicio de explotación
  - run app.service.info -a <package name>
  - run app.service.start --action <action> --component <package name> <component name>
  - run app.service.send <package name> <component name> --msg <what> <arg1> <arg2> --extra <type> <key> <value> --bundle-as-obj

Análisis de red y pruebas del lado del servidor

TCPDUMP: una utilidad de captura de paquetes de línea de comandos.
Wireshark: un analizador de paquetes de código abierto.
- Capturas de paquetes en vivo en tiempo real
  - adb shell "tcpdump -s 0 -w - | nc -l -p 4444"
  - adb forward tcp:4444 tcp:4444
  - nc localhost 4444 | sudo wireshark -k -S -i –
Mallory: un hombre en la herramienta media (MITM) que usa para monitorear y manipular el tráfico en dispositivos y aplicaciones móviles.
BURP Suite: BURP Suite es una plataforma integrada para realizar pruebas de seguridad de aplicaciones.
- Instalación de CA de confianza en el nivel de OS Android (dispositivo raíz/emulador) para Android N+ como lo siguiente:
  - openssl x509 -inform PEM -subject_hash -in BurpCA.pem | head -1
  - cat BurpCA.pem > 9a5ba580.0
  - openssl x509 -inform PEM -text -in BurpCA.pem -out /dev/null >> 9a5ba580.0
  - adb root
  - abd remount
  - adb push 9a5ba580.0 /system/etc/security/cacerts/
  - adb shell “chmod 644 /system/etc/security/cacerts/9a5ba580.0”
  - adb shell “reboot”
  - Verifique la configuración> Seguridad> Credenciales de confianza> Sistema para confirmar que se enumera su CA recién agregada.
BURP Suite Asistente móvil: BURP Suite Mobile Assistant es una herramienta para facilitar las pruebas de aplicaciones iOS con BURP Suite; Puede modificar la configuración proxy de todo el sistema de los dispositivos iOS para que el tráfico HTTP (S) pueda redirigirse fácilmente a una instancia en ejecución de BURP, puede intentar eludir la fijación del certificado SSL en aplicaciones seleccionadas, lo que permite que BURP Suite rompa sus conexiones HTTPS e intersecta, inspeccione y modifique todo el tráfico.
OWASP ZAP - OWASP ZED ATACK Project Project es un escáner de seguridad de aplicaciones web de código abierto. Está destinado a ser utilizado por aquellos nuevos en la seguridad de la aplicación, así como a los probadores de penetración profesional.
ProxyDroid - Aplicación global proxy para el sistema Android.
MITMProxy: es un proxy interceptable interactivo, con capacidad SSL/TLS con una interfaz de consola para HTTP/1, HTTP/2 y WebSockets.

Omitiendo la detección de la raíz y la fijación de SSL

Magisk: los suites Magisk proporcionan acceso raíz a su dispositivo, capacidad para modificar las particiones de solo lectura instalando módulos y ocultar Magisk de detecciones raíz/verificaciones de integridad del sistema.
Módulo XPosed: solo confía en mí - módulo xpuesto para evitar la fijación del certificado SSL.
Módulo XPosed: SSLUNPINNING - Módulo Xposed Android para evitar la validación del certificado SSL (fijación del certificado).
Módulo de sustrato Cydia: Android SSL Trust Killer - Blackbox Tool para evitar la fijación del certificado SSL para la mayoría de las aplicaciones que se ejecutan en un dispositivo.
Módulo de sustrato Cydia: RootCoak Plus - Verificación de raíz de parche para indicaciones de raíz comúnmente conocidas.
Android-SSL-ByPass: una herramienta de depuración de Android que se puede utilizar para evitar SSL, incluso cuando se implementa la fijación de certificados, así como otras tareas de depuración. La herramienta se ejecuta como una consola interactiva.
APK -MITM: una aplicación CLI que prepara automáticamente los archivos APK Android para la inspección HTTPS
Frida CodeShare: el proyecto Frida CodeShare está compuesto por desarrolladores de todo el mundo que trabajan junto con un objetivo: empujar a Frida a sus límites de manera nueva e innovadora.
- Omitiendo la detección de la raíz
  - frida --codeshare dzonerzy/fridantiroot -f YOUR_BINARY
- Paseando la fijación de SSL
  - frida --codeshare pcipolloni/universal-android-ssl-pinning-bypass-with-frida -f YOUR_BINARY

Bibliotecas de seguridad

PublicKey Finning: la fijación en Android se puede lograr a través de un X509TrustManager personalizado. X509TrustManager debe realizar las verificaciones X509 habituales además de realizar la configuración de fijación.
Android Pinning: un proyecto de biblioteca independiente para la fijación de certificados en Android.
Java AES Crypto: una clase de Android simple para encriptar y descifrar cuerdas, con el objetivo de evitar los errores clásicos que sufren la mayoría de esas clases.
Proguard: Proguard es un archivo de clase Java gratuito, optimizador, obfuscador y preverificador. Detecta y elimina clases, campos, métodos y atributos no utilizados.
SQL CIPHER - SQLCIPHER es una extensión de código abierto a SQLite que proporciona cifrado AES transparente de 256 bits de archivos de base de datos.
Preferencias seguras: Wrapper de preferencias compartidas de Android que cifra las claves y los valores de las preferencias compartidas.
Intentos de confianza: biblioteca para interacciones confiables flexibles entre aplicaciones de Android.
Rootbeer: una sabrosa biblioteca de verificador de raíces y una aplicación de muestra.
Cifrado de extremo a extremo: Capilar es una biblioteca para simplificar el envío de mensajes push encriptados de extremo a extremo de servidores de aplicaciones basados en Java a clientes de Android.

Prueba de penetración de la aplicación iOS

Acceder al sistema de archivos en IDEVICE

FileZilla: es compatible con FTP, SFTP y FTPS (FTP sobre SSL/TLS).
CyberDuck - Libre FTP, SFTP, WebDav, S3, Azure & OpenStack Swift Browser para Mac y Windows.
iTunnel: use para reenviar SSH a través de USB.
IPROXY: te permita conectar tu computadora portátil al iPhone para navegar por la web.
IFUnBox: la herramienta de administración de archivos y aplicaciones para iPhone, iPad y iPod Touch.

Ingeniería inversa y análisis estático

OTOOL: el comando OTOOL muestra partes especificadas de archivos o bibliotecas de objetos.
Clutch: descifró la aplicación y volcó el paquete especificado en el archivo binario o .ipa.
DumpDecrypted: descarga de archivos Mach -O descifrados de aplicaciones de iPhone cifradas desde la memoria hasta el disco. Esta herramienta es necesaria para que los investigadores de seguridad puedan mirar debajo del capó del cifrado.
- iPod:~ root# DYLD_INSERT_LIBRARIES=dumpdecrypted.dylib /var/mobile/Applications/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/Scan.app/Scan
Class-Dump: una utilidad de línea de comandos para examinar la información de tiempo de ejecución Objective-C almacenada en archivos Mach-O.
DSDUMP: un NM + OBJC/Swift mejorado mejorado.
ClassDump débil: un script Cycript que genera un archivo de encabezado para la clase pasada a la función. Más útil cuando no puede clasificar o dumpDecrypted, cuando los binarios están encriptados, etc.
- iPod:~ root# cycript -p Skype weak_classdump.cy; cycript -p Skype
- #cy weak_classdump_bundle([NSBundle mainBundle],"/tmp/Skype")
Fridpa: un script de envoltorio automatizado para parchear aplicaciones iOS (archivos IPA) y trabajar en dispositivos que no son de regalos.
Frida-Ives-Dump-Tire de una IPA descifrada de un dispositivo Jailbreak.
Bagbak: otro iOS basado en frida DumpDecrypted, admite la descifración de extensiones de aplicaciones y no se requiere SSH.
BFinject - Bfinject Carga Dylibs arbitrarios en la ejecución de aplicaciones de App Store. Tiene soporte incorporado para descifrar aplicaciones de App Store, y viene incluido con ISPY y Cycript.
- Una prueba simple
  - bash bfinject -P Reddit -L test
- Decrypt de aplicaciones de App Store
  - bash bfinject -P Reddit -L decrypt
- Cycript
  - bash bfinject -P Reddit -L cycript
HopperApp - Hopper es una herramienta de ingeniería inversa para OS X y Linux, que le permite desmontar, descompilar y depurar sus ejecuciones de 32/64bits Intel Mac, Linux, Windows e iOS.
Hopperscripts: los hopperscripts se pueden usar para demangular el nombre de la función SWIFT en HopperApp.
RADARE2 - RADARE2 es un marco de ingeniería inversa de unix y herramientas de línea de comandos.
XRESIGN - XRESIGN le permite firmar o renunciar a los archivos IPA sin cifrar con el certificado para el cual posee la clave privada correspondiente. Verificado para la distribución del desarrollador, ad-hoc y empresarial.

Análisis dinámico y de tiempo de ejecución

Cycript: Cycript permite a los desarrolladores explorar y modificar la ejecución de aplicaciones en iOS o Mac OS X utilizando una sintaxis híbrida de Objective -C ++ y JavaScript a través de una consola interactiva que presenta resaltaciones y finalización de pestañas de sintaxis.
- Mostrar controlador de vista visible actualmente
  - cy# UIApp.keyWindow.rootViewController.visibleViewController
- Mostrar controlador de vista en la parte superior de la pila de navegación
  - cy# UIApp.keyWindow.rootViewController.topViewController
- Obtenga una serie de objetos existentes de una determinada clase
  - cy# choose(UIViewController)
- Volcado de interfaz de usuario, corta muchas descripciones de UIViews
  - cy# [[UIApp keyWindow] _autolayoutTrace].toString()
- Skip UIViews y NexTrponders para obtener ViewControllers directamente
  - cy# [[[UIApp keyWindow] rootViewController] _printHierarchy].toString()
- Método de lista en tiempo de ejecución
  - cy# classname.messages o cy# function printMethods(className, isa) { var count = new new Type("I"); var classObj = (isa != undefined) ? objc_getClass(className)->isa : objc_getClass(className); var methods = class_copyMethodList(classObj, count); var methodsArray = []; for(var i = 0; i < *count; i++) { var method = methods[i]; methodsArray.push({selector:method_getName(method), implementation:method_getImplementation(method)}); } free(methods); return methodsArray; }
- - cy# printMethods("<classname>")
- Imprime todas las variables de instancia
  - cy# a=#0x15d0db80
  - cy# *a o
  - cy# function tryPrintIvars(a){ var x={}; for(i in *a){ try{ x[i] = (*a)[i]; } catch(e){} } return x; }
  - cy# a=#0x15d0db80
  - cy# tryPrintIvars(a)
- Manipulando a través de la propiedad
  - cy# [a pinCode]
  - cy# [a setPinCode: @"1234"] o cy# a.setPinCode= @"1234"
- Método Swizzling, por ejemplo, método
  - cy# [a isValidPin]
  - cy# <classname>.prototype.isValidPin = function(){return 1;}
- Método Swizzling para el método de clase
  - cy# [Pin isValidPin]
  - cy# Pin.contructor.prototype.['isValidPin'] = function(){return 1;}
INALYZER - APPSEC Labs Inalyzer es un marco para manipular las aplicaciones iOS, manipulando los parámetros y el método.
Grapefruit: instrumentos de aplicación de tiempo de ejecución para iOS, anteriormente Passionfruit.
Introspy -Ius: BlackBox Tool para ayudar a comprender lo que está haciendo una aplicación para iOS en tiempo de ejecución y ayudar en la identificación de posibles problemas de seguridad.
Apple Configurator 2: una utilidad que se puede utilizar para ver el registro del sistema en vivo en IDEVICE.
Keychaindumper: una herramienta para verificar qué elementos del llavero están disponibles para un atacante una vez que un dispositivo iOS ha sido Jailbreak.
BinaryCookeroader: una herramienta para volcar todas las cookies del archivo binary cookies.binarycookies.

Análisis de red y pruebas del lado del servidor

Mallory: un hombre en la herramienta media (MITM) que usa para monitorear y manipular el tráfico en dispositivos y aplicaciones móviles.
BURP Suite: BURP Suite es una plataforma integrada para realizar pruebas de seguridad de aplicaciones.
OWASP ZAP - OWASP ZED ATACK Project Project es un escáner de seguridad de aplicaciones web de código abierto. Está destinado a ser utilizado por aquellos nuevos en la seguridad de la aplicación, así como a los probadores de penetración profesional.
Charles Proxy - HTTP Proxy / HTTP Monitor / Reverse Proxy que permite a un desarrollador ver todo el tráfico HTTP y SSL / HTTPS entre su máquina e Internet.

Omitiendo la detección de la raíz y la fijación de SSL

SSL Kill Switch 2 - Blackbox Tool para deshabilitar la validación del certificado SSL, incluida la fijación de certificados, dentro de las aplicaciones iOS y OS X.
iOS TrustMe: desactive los cheques de fideicomiso de certificado en los dispositivos iOS.
TSProtector: otra herramienta para evitar la detección de jailbreak.
JailProtect: además de evitar la detección de jailbreak, también le permite falsificar fácilmente su versión de firmware de iOS.
Shadow - Shadow es un ajuste para evitar la detección de jailbreak que derrota los métodos básicos de detección utilizados por muchas aplicaciones de App Store.
Frida CodeShare: el proyecto Frida CodeShare está compuesto por desarrolladores de todo el mundo que trabajan junto con un objetivo: empujar a Frida a sus límites de manera nueva e innovadora.
- Paseando la fijación de SSL
  - frida --codeshare lichao890427/ios-ssl-bypass -f YOUR_BINARY
  - frida --codeshare dki/ios10-ssl-bypass -f YOUR_BINARY

Bibliotecas de seguridad

PublicKey Pinning: la fijación de iOS se realiza a través de un NsurlConnectionDelegate. El delegado debe implementar la conexión: CanauthenticateAgainstProtectionspace: y conexión: DidReceIveauthenticationChallenge:. Dentro de la conexión: DidReceIveauthenticationChallenge:, el delegado debe llamar a SecTrusTeValuate para realizar controles X509 habituales.
SWIFTSHIELD - SwiftShield es una herramienta que genera nombres irreversibles y cifrados para los objetos de su proyecto iOS (incluidas sus vainas y guiones gráficos) para proteger su aplicación de herramientas que invierten las aplicaciones de iOS, como Class -Dump y Cycript.
IossecuritySuite-IOS Security Suite es una biblioteca de seguridad y anti-manipulamiento de plataforma avanzada y fácil de usar escrita en Pure Swift! Si se está desarrollando para iOS y desea proteger su aplicación de acuerdo con el estándar OWASP MASVS, Capítulo V8, entonces esta biblioteca podría ahorrarle mucho tiempo.
OWASP IMAS: IMAS es un proyecto de investigación colaborativa de la Corporación Mitre centrada en los controles de seguridad de iOS de código abierto.

Laboratorio de pruebas de penetración móvil

WATF Bank: la aplicación de banca móvil de failure-failure (WATF-Bank), escrita en Java, Swift 4, Objective-C y Python (Flask Framework) como un servidor de backend, está diseñado para simular una aplicación de banca móvil habilitada con servicios web "en el mundo real" que contiene más de 30 vulnerabilidades basadas en los riesgos móviles de OWASP.
InsecureBankV2: la aplicación vulnerable de Android se llama "InsegureBankv2" y está hecho para entusiastas y desarrolladores de la seguridad para aprender las inseguridades de Android probando esta aplicación vulnerable. Su componente del servidor de fondo está escrito en Python.
DVIA -V2 - Damn Vulnerable iOS Aplic (DVIA) es una aplicación iOS que es muy vulnerable. Su objetivo principal es proporcionar una plataforma a los entusiastas/profesionales o estudiantes de seguridad móviles para evaluar sus habilidades de prueba de penetración de iOS en un entorno legal.
Diva Android - Diva (maldita aplicación insegura y vulnerable) es una aplicación diseñada intencionalmente para ser insegura. El objetivo de la aplicación es enseñar a los desarrolladores/QA/profesionales de seguridad, defectos que generalmente están presentes en las aplicaciones debido a prácticas de codificación pobres o inseguras.
DVHMA - Damn Vulnerable Hybrid Mobile App (DVHMA) es una aplicación móvil híbrida (para Android) que contiene intencionalmente vulnerabilidades. Su propósito es permitir a los profesionales de la seguridad probar sus herramientas y técnicas legalmente, ayudar a los desarrolladores a comprender mejor las dificultades comunes en el desarrollo de aplicaciones móviles híbridas de forma segura.
MSTG Hacking Playground: esta es una colección de aplicaciones móviles iOS y Android, que están inseguras intencionalmente. Estas aplicaciones se utilizan como ejemplos para demostrar diferentes vulnerabilidades explicadas en la Guía de pruebas de seguridad móvil OWASP.
Aplicaciones móviles inquebrantables: aplicaciones inquebrantables para Android e iOS, una colección de desafíos de ingeniería inversa móviles. Estos desafíos se utilizan como ejemplos en toda la Guía de pruebas de seguridad móvil.
OWASP IGOT: la cabra es una herramienta de aprendizaje para desarrolladores de iOS (iPhone, iPad, etc.) y pentestres de aplicaciones móviles. Fue inspirado en el proyecto WebGoat y tiene un flujo conceptual similar.