LazyWeb - تطبيق ويب ضعيف

LazyWeb هو تطبيق ويب توضيحي مصمم لعرض الثغرات الأمنية الشائعة على جانب الخادم في التطبيقات الويب. تم تصنيف كل ثغرة بمستوى الصعوبة الخاص بها لتوفير تجربة تعليمية شاملة للمطورين وعشاق الأمن.

الميزات الرئيسية

• يعرض ثغرات أمنية واقعية في تطبيقات الويب.
• يمتد من عيوب الأمان الأساسية إلى المتقدمة، مما يسمح للمستخدمين باختبار مهاراتهم على مستويات مختلفة.
• يهدف إلى مساعدة محترفي الأمن في فهم طبيعة الثغرات وكيفية التخفيف منها.

الثغرات المضمنة

يتضمن التطبيق الثغرات التالية:

• حقن أوامر نظام التشغيل (OS Command Injection)
• حقن SQL (SQL Injection)
• حقن كيان خارجي XML (XXE)
• مرجع كائن مباشر غير آمن (IDOR)
• تضمين ملف محلي (LFI)
• تحميل ملف غير آمن
• تعيين جلسة عشوائي
• إذن مكسور
• مصادقة مكسورة
• كشف مجلد .git (إذا تم استنساخه مباشرة إلى جذر الويب)

تعليمات النشر

للبدء مع المشروع، قم ببساطة بتشغيل الأمر التالي:

docker-compose up

سيقوم هذا بإعداد البيئة وتشغيل التطبيق باستخدام Docker.

ملاحظات مهمة

• تأكد من أن الدليلين templates_c وuser/avatar لهما الصلاحيات الصحيحة. بعد النشر، قم بتشغيل:

  root@kitploit:~

  sudo chown www-data:www-data templates_c user/avatar
  

الشروحات والموارد

• من LFI إلى RCE عبر PHAR
• شرح على Pojiiix

الترخيص

هذا المشروع مرخص بموجب رخصة MIT - راجع ملف LICENSE للحصول على التفاصيل.