Nimbostratus Ziel

Dieses Repository enthält eine Zielinfrastruktur, die Sie zum Testen von nimbostratus verwenden können.

Dieser Code stellt eine Amazon-AWS-Infrastruktur bereit, die verschiedene Schwachstellen und schwache Konfigurationseinstellungen aufweist, die mit nimbostratus ausgenutzt werden können.

Wenn Sie nicht sicher sind, worum es hier geht, verwenden Sie besser keinen der hier enthaltenen Codes.

Installation

sudo apt-get install python-mysqldb
git clone [email protected]:andresriancho/nimbostratus-target.git
cd nimbostratus-target
pip install -r requirements.txt

Verwendung

Starten der Umgebung

Stellen Sie sicher, dass Sie Ihre "Root"-AWS-Anmeldeinformationen in ~/.boto konfiguriert haben, bevor Sie das Fabric-Skript ausführen.

fab deploy

Die Konsolenmeldungen zeigen Ihnen den Fortschritt an, damit Sie verstehen, was wo bereitgestellt wird. Am Ende sollten Sie die folgenden AWS-Komponenten erhalten:

• Front-End EC2-Instanz mit:
  • HTTP-Server und verwundbarer Webanwendung
  • Celery, das für die Verwendung von SQS als Broker konfiguriert ist
  • Bereitgestellt über ein User-Data-Skript
  • Mit einem Instanzprofil, das Zugriff auf SQS ermöglicht
• Backend-Worker:
  • Verbraucht SQS-Nachrichten, die von der Front-End-Instanz gesendet werden
  • Verwendet Pickle als Serialisierungsmethode
  • Kein Instanzprofil konfiguriert, fest codierte AWS-Anmeldeinformationen
  • AWS-Anmeldeinformationen können auf RDS:* und IAM:* zugreifen
  • Speichert Informationen in der RDS-Datenbank mit einem Benutzer mit niedrigen Berechtigungen
• RDS-Datenbank
• IAM-Benutzer für den Backend-Worker

Ein erfolgreicher Durchlauf sollte wie dieses aussehen.

Beenden der Umgebung

Wenn Sie mit dem Spielen mit dieser Amazon-Cloud fertig sind, löschen Sie sie einfach mit:

fab teardown

Haftungsausschluss

• Dieser Code wurde nicht auf Wiederverwendbarkeit entwickelt.
• Die Ausführung dieses Codes verursacht Amazon-AWS-Gebühren!
• Der Befehl teardown könnte fehlschlagen; selbst nach seiner Ausführung können von Amazon Gebühren erhoben werden. Sie sind dafür verantwortlich, den Zustand Ihrer Dienste nach der Ausführung dieses Tools zu überprüfen.