Si vous voulez vous exercer à la détection de vulnérabilités sur des wallets crypto, notamment Ethereum, voici une application qui devrait vous plaire.
Il s’agit de Damn Vulnerable Crypto Wallet (DVCW), qui se compose d’une application desktop (Electron + Vue), d’une API Web (NodeJS / Express, SQLite et Web3) et d’une blockchain locale Ethereum (Truffle, Ganache-cli et des smart contracts écrits en Solidity) et qui permet de créer un wallet, d’en charger un à l’aide d’une phrase mnémotechnique, d’envoyer des transactions Ethereum, d’attacher un message à la transaction, d’activer de l’auth 2FA, de gérer plusieurs profils et d’interagir avec des smart contracts DVCToken & DVCTokenSale.
Les failles de Damn Vulnerable Crypto Wallet sont nombreuses et voici ce que vous y trouverez (en anglais) :
Insecure storage (weak ciphers and hashing algorithms, no integrity checking mechanisms)
Stored XSS to RCE
Outdated Electron version
Two-factor authentication bypass
Debug port open vulnerable to DNS rebinding
Protocol handler vulnerability (CVE-2018-1000118)
Log files in packaged app
SQL injection
Wallet takeover
Server-side JavaScript injection
Path traversal
CORS misconfiguration
No session management
Smart contracts vulnerabilities:
Arithmetic misuse (Overflows and Underfows)
Inadequate access controls
Reentrancy
Bad randomness
Amusez-vous bien !