WebSocket GOAT

تطبيق WebSocket معرّض للثغرات عمدًا، مبني على Docker، مصمم لتعلّم وممارسة اختبار أمان WebSocket في بيئة خاضعة للتحكم.

ينفّذ المختبر تطبيق ويب واقعيًا مع مصادقة، ورسائل خاصة، وملفات تعريف مستخدمين، وعدة نقاط نهاية WebSocket. توفر كل ميزة فرصة لدراسة كيفية ظهور ثغرات WebSocket المحددة عندما يتم تنفيذ ضوابط الأمان على مستوى المصادقة والتفويض والتطبيق بشكل غير صحيح.

البدء

docker compose up --build

افتح:

http://localhost:3000

الاختبار

أنشئ حسابين في ملفي تعريف متصفحين أو نافذتين للتصفح الخفي.

مثال:

المستخدم أ:

• سجّل alice
• كلمة المرور password123

المستخدم ب:

• سجّل bob
• كلمة المرور password123

يحصل كل حساب على رمز مستخدم مكوّن من 8 أحرف.

أدخل رمز Bob من جلسة Alice. أدخل رمز Alice من جلسة Bob. سينضم العميلان إلى نفس المحادثة.

الدليل

كتبت شرحًا تفصيليًا للثغرات الموجودة في المختبر، وسيتم تحديثه بانتظام.

كما أشجعك على مشاهدة هذه المحاضرة من OWASP

وهذا الفيديو من BBRE

المراجع

https://websocket.org/guides/authentication/

https://christian-schneider.net/blog/cross-site-websocket-hijacking/