# Черновик программы

Проект OWASP Mobile
Уязвимости мобильных приложений
Системы оценки защищенности приложения
Поиск уязвимостей и работы по анализу защищенности

### Программа обучения

### 1-ый воркшоп

**(продолжительность - 2 часа)**

**"React Native: Security"**. Основы безопасной разработки приложений, написанных с использованием технологии React Native.

Темы занятия:

1. Наиболее распространенные уязвимостях в React Native, а также способы эксплуатации данных уязвимостей.
2. Демонстрация, как данные уязвимости выглядят в коде и рассказ о том, как не допустить их возникновения.
3. Демонстрация уязвимостей в наших приложениях.
4. Практическая часть с поиском и эксплуатацией уязвимостей в специально подготовленном приложении.

Пример тем:

- Типовые уязвимости в приложения React Native и их примеры:
- 1 Уязвимости фильтрации данных ( SQLi, XSS…)
- 2 Недостаточная аутентификация
- 3 Third Party уязвимости
- 4 Уязвимости к атакам на цепочку поставок
- 5 Уязвимости хранения данных
- 6 Уязвимости работы с deep link
- 7 Уязвимости с утечкой sensitive данных в исходнике приложения
- 8 Уязвимости directory traversal (evil arch)
- Обфускация React-приложения
- Заголовки безопасности
- Пример уязвимости IDOR в React-приложении
- Уязвимости в ReactNative приложениях на из опыта Заказчика:
- Использование react-native-keychain для шифрования (тут ссылка наш пример уязвимости)
- Небезопасная загрузка файлов на React Native Push Server (тут ссылка на наш пример уязвимости)
- Работа с сертификатами и SSL-Pinning;

### 2-ой воркшоп

(продолжительность - 2 часа)

**"React Native: Advanced Security"**. Безопасная разработка приложений, написанных с использованием технологии React Native: продвинутый уровень.

Темы занятия:

1. Обзор лучших практик в разработке с использованием фреймворка React Native.
2. Рассказ о специфичных уязвимостях в React Native, а также способах эксплуатации данных уязвимостей.
3. Демонстрация, как данные уязвимости выглядят в коде и рассказ о том, как не допустить их возникновения.
4. Практическая часть с поиском и эксплуатацией уязвимостей в специально подготовленном приложении.

Пример тем:

ВСЕ ТЕМЫ РАССМАТРИВАЮТСЯ КАК ПРИМЕР АТАК, НО НЕ ПРИМЕРЫ КАК КОДИТЬ

- Работа с ключами (где хранить, как передавать)
- SQLi, NoSQLi
- Уязвимости, связанные с контролем доступа (IDOR, Возможность повышения привилегий)
- SSRF
- XXE
- Unrestricted File Upload
- Race Condition
- Broken Authentication
- Заголовки безопасности
- Работа с сессиями
- Работа с gRPC
- Безопасное хранение и передача данных

### 3-ий воркшоп

(продолжительность - 2 часа)

**"Тестирование безопасности мобильных приложений"**. Отработка практических навыков

Тестовые приложения с набором тем:

1. Уязвимости мобильных приложений
2. Системы оценки защищенности приложения MASVS
3. Поиск уязвимостей и работы по анализу защищенности
4. Гайд по тестированию мобильных приложений OWASP MSTG
5. Реверс-инжиниринг мобильных приложений Android и iOS
6. Обход SSL-пиннинга
7. Анализ трафика
8. Инструменты автоматизации анализа защищенности (Mobile Security Framework (MobSF)