allsafe

Allsafe

Allsafe是一个有意脆弱的应用程序，包含各种漏洞。与其他脆弱的Android应用程序不同，该应用程序不像CTF，更像是使用现代库和技术的真实应用程序。此外，我还提供了一些基于弗里达的挑战供您探索。玩得开心和快乐的黑客！

有用的Frida脚本

我在其他存储库中有我的Frida脚本（更像模板）。我敢肯定，对于Frida相关的任务，它们可能非常方便。检查一下：https：//github.com/t0thkr1s/frida

任务 /漏洞

1。不安全的记录

简单的信息披露漏洞。使用logcat命令行工具发现敏感信息。

资源和黑客报告：

• logcat工具
• COINBASE OAUTH响应代码泄漏

告诉我它的完成方式！

adb shell'pidof infosecadventures.allsafe'

输出并取代

adb shell'logcat -pid |格雷普秘密'

---

2。硬编码凭证

代码中保留了一些凭据。您的任务是对应用程序进行反向工程并找到敏感信息。

资源和黑客报告：

• Zomato硬编码凭证
• 8x8硬编码凭证
• 混响硬编码API秘密

告诉我它的完成方式！

＃todo

---

3。根检测

这纯粹是用于弗里达的实践。使代码相信您的设备没有扎根！

告诉我它的完成方式！

https://youtu.be/gg-3sw79gei

---

4。任意代码执行

使用第三方应用程序安全加载模块并不容易。编写POC应用程序并利用漏洞！

资源和黑客报告：

• 通过第三方软件包上下文执行任意代码

告诉我它的完成方式！

＃todo

---

5。安全标志旁路

另一个基于弗里达的任务。这里没有真正的漏洞，只需绕过安全的标志就可以玩得开心！

资源和黑客报告：

• android flag_secure参考

告诉我它的完成方式！

＃todo

---

6。证书固定

证书固定是使用OKHTTP库实现的。您必须绕过它，以便使用Burp Suite查看流量。

资源和黑客报告：

• 证书和公钥固定
• 共插基漏洞

告诉我它的完成方式！

＃todo

---

7。不安全的广播接收器

应用程序中有一个脆弱的广播接收器。用正确的数据触发它，您就完成了！

资源和黑客报告：

• Android广播概述
• OK.RU广播接收器开发
• Bitwarden脆弱的广播接收器

告诉我它的完成方式！

＃todo

---

8。深链接开发

与不安全的广播接收器类似，您需要提供正确的查询参数才能完成此任务！

资源和黑客报告：

• Android深链接
• 抓住不安全的深度链接
• 潜望镜深链接CSRF

告诉我它的完成方式！

＃todo

---

9。SQL注入

只是您在Web应用程序中找到的常规SQL注入。无需逆转代码即可绕过登录机构。

资源和黑客报告：

• 内容提供商中的SQL注入

告诉我它的完成方式！

＃todo

---

10。脆弱的WebView

您也可以完成此任务而不将应用程序进行分配。弹出警报对话框并读取文件！

资源和黑客报告：

• OwnCloud WebView XSS

告诉我它的完成方式！

＃todo

---

11。Smali修补

在此任务中，您必须通过编辑SMALI代码来修改应用程序的执行流。最后，重建并签署APK！

资源和黑客报告：

• Uber APK签名者

告诉我它的完成方式！

＃todo

---

12。本地图书馆

该应用程序使用验证输入密码的本地库。对库进行反向工程以查找密码，然后使用Frida钩住本机方法。

资源和黑客报告：

• 吉德拉
• 刀具

告诉我它的完成方式！

＃todo

---

贡献

注意到一个错误？有建议吗？随意打开问题或创建拉动请求！

支持

如果该项目对您有价值或以任何方式帮助您，请考虑通过以下加密货币进行少量捐赠。在项目上赋予明星也有很大帮助。谢谢！

比特币地址⟹bc1qd44kvj6zatjgn27n45uxd3nprzt6rm9x9g2yc8

以太坊地址⟹0x1835A58E866668C48EEE63D32432C7FE28AF54B4

免责声明

该工具仅用于测试和学术目的，只能在给予严格同意的情况下使用。不要将其用于非法目的！遵守所有适用的地方，州和联邦法律是最终用户的责任。开发人员不承担任何责任，也不对此工具和软件造成的任何滥用或损害负责。

执照

该项目已根据GPLV3许可证获得许可 - 有关详细信息，请参见许可证文件