Allsafe是一款包含大量安全漏洞的Android应用程序，跟其他包含漏洞的Android应用不同，Allsafe的设计更像是那些使用了大量现代库和新型技术的真实应用程序，而且Allsafe的设计理念跟CTF比赛也是不一样的。
除此之外，我们还提供了一些基于Frida的安全挑战，广大研究人员可以根据自己的需求自行研究。
有用的Firda脚本我在另一个代码库【传送门】中给大家提供了大量有用的Frida脚本（或模板），广大研究人员可以将其用于跟Firda相关的安全任务之中。
任务/漏洞1、不安全的日志简单的信息披露漏洞，可以使用logcat命令行工具来发现敏感信息。
相关资源：
Logcat工具
Coinbase OAuth响应代码泄露
2、硬编码凭证某些凭证数据会遗留在代码中，你的任务就是对应用程序进行逆向工程分析，并寻找到敏感信息。
相关资源：
Zomato硬编码凭证
8x8硬编码凭证
Reverb硬编码API密钥
3、Root检测这是一个纯Frida任务，你需要让代码相信你的设备没有root过。
4、任意代码执行使用第三方应用安全地加载模块，并不是一件容易的事。你需要编写一个PoC应用，并成功利用该漏洞。
相关资源：
通过第三方代码包上下文实现任意代码执行
5、安全标识绕过这是另一个Frida任务，它并非一个真正意义上的漏洞，只是一个安全标识绕过挑战。
相关资源：
Android FLAG_SECURE
6、证书绑定绕过证书绑定是通过OkHttp库实现的，你需要绕过它以使用BurpSuite查看流量。
相关资源：
证书和公钥绑定
Coinbase漏洞
7、不安全的广播接收器应用程序中有一个存在漏洞的广播接收器，你需要使用正确的数据来触发它。
相关资源：
Android广播机制概述
ok.ru广播接收器漏洞利用
Bitwarden存在漏洞的广播接收器
8、深度链接利用类似于不安全的广播接收器，你需要提供正确的查询参数来完成这个任务。
相关资源：
Android深度链接
获取不安全的深度链接
Periscope深度链接CSRF
9、SQL注入这是一个常规的SQL注入，跟Web应用的SQL注入类似。你不需要逆向代码来绕过登录机制。
相关资源：
内容提供器中的SQL注入漏洞
10、存在漏洞的WebView你还可以在无需对应用程序进行反编译的情况下完成这个任务，弹出一个警告对话框并实现文件读取即可。
相关资源：
ownClod WebView XSS
11、Smali修复在这个任务中，你需要通过修改Smali代码来改变程序的执行流。最后，重新构建APK并对其签名。
相关资源：
Uber APK签名器
12、原生库应用程序使用了一个原生库来验证用户输入的密码，你需要对代码库进行逆向分析，并找到密码，然后使用Frida来挂钩原生方法。
相关资源：
Ghidra
Cutter
许可证协议本项目的开发与发布遵循GPLv3开源许可证协议。
项目地址Allsafe：https://github.com/t0thkr1s/allsafe
,
