VulnNodeApp

Eine angreifbare Anwendung, die mit node.js, express server und ejs template engine erstellt wurde. Diese Anwendung ist ausschließlich für Bildungszwecke gedacht.

Einrichtung

Repository klonen

git clone https://github.com/4auvar/VulnNodeApp.git

Anwendungseinrichtung:

• Neueste node.js-Version mit npm installieren.
• Terminal/Eingabeaufforderung öffnen und zum Speicherort des heruntergeladenen/geklonten Repositorys navigieren.
• Befehl ausführen: npm install

DB-Einrichtung

• Neueste MySQL-Version installieren und konfigurieren sowie den MySQL-Dienst/Daemon starten.
• Mit Root-Benutzer in MySQL anmelden und das folgende SQL-Skript ausführen:

CREATE USER 'vulnnodeapp'@'localhost' IDENTIFIED BY 'password';
create database vuln_node_app_db;
GRANT ALL PRIVILEGES ON vuln_node_app_db.* TO 'vulnnodeapp'@'localhost';
USE vuln_node_app_db;
create table users (id int AUTO_INCREMENT PRIMARY KEY, fullname varchar(255), username varchar(255),password varchar(255), email varchar(255), phone varchar(255), profilepic varchar(255));
insert into users(fullname,username,password,email,phone) values("test1","test1","test1","[email protected]","976543210");
insert into users(fullname,username,password,email,phone) values("test2","test2","test2","[email protected]","9887987541");
insert into users(fullname,username,password,email,phone) values("test3","test3","test3","[email protected]","9876987611");
insert into users(fullname,username,password,email,phone) values("test4","test4","test4","[email protected]","9123459876");
insert into users(fullname,username,password,email,phone) values("test5","test5","test5","[email protected]","7893451230");

Grundlegende Umgebungsvariablen setzen

• Benutzer muss die folgenden Umgebungsvariablen setzen:
  • DATABASE_HOST (z.B. localhost, 127.0.0.1, usw.)
  • DATABASE_NAME (z.B. vuln_node_app_db oder der Datenbankname, den Sie im obigen DB-Skript geändert haben)
  • DATABASE_USER (z.B. vulnnodeapp oder der Benutzername, den Sie im obigen DB-Skript geändert haben)
  • DATABASE_PASS (z.B. password oder das Passwort, das Sie im obigen DB-Skript geändert haben)

Server starten

• Eingabeaufforderung/Terminal öffnen und zum Speicherort Ihres Repositorys navigieren.
• Befehl ausführen: npm start
• Zugriff auf die Anwendung unter http://localhost:3000

Behandelte Schwachstellen

• SQL-Injection
• Cross-Site-Scripting (XSS)
• Unsicherer direkter Objektverweis (IDOR)
• Befehlsinjektion
• Beliebiger Dateiabruf
• Regex-Injektion
• Externe XML-Entity-Injektion (XXE)
• Node.js-Deserialisierung
• Sicherheitsfehlkonfiguration
• Unsicheres Sitzungsmanagement

TODO

• Neue Schwachstellen wie CORS, Template Injection usw. werden hinzugefügt.
• Anwendungsdokumentation verbessern

Probleme

• Falls Sie Fehler in der Anwendung finden, erstellen Sie bitte ein Issue auf GitHub.

Beitrag

• Erstellen Sie gerne einen Pull-Request für jeden Beitrag.

Sie erreichen mich unter @4auvar