TerraformGoat

Englisch | 中文

TerraformGoat ist das „Vulnerable by Design“-Multi-Cloud-Bereitstellungstool des HXSecurity-Forschungslabors.

Derzeit unterstützte Cloud-Anbieter sind Alibaba Cloud, Tencent Cloud, Huawei Cloud, Amazon Web Services, Google Cloud Platform und Microsoft Azure.

🎯 Szenarien

💫 Installation

TerraformGoat wird über Docker-Images bereitgestellt und benötigt daher eine Docker Engine-Umgebung. Die Installation der Docker Engine finden Sie unter https://docs.docker.com/engine/install/

Abhängig vom verwendeten Cloud-Dienstanbieter wählen Sie den entsprechenden Installationsbefehl.

Alibaba Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

Tencent Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker run -itd --name terraformgoat_tencentcloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker exec -it terraformgoat_tencentcloud_0.0.7 /bin/bash

Huawei Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker run -itd --name terraformgoat_huaweicloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker exec -it terraformgoat_huaweicloud_0.0.7 /bin/bash

Amazon Web Services

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker run -itd --name terraformgoat_aws_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker exec -it terraformgoat_aws_0.0.7 /bin/bash

Google Cloud Platform

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker run -itd --name terraformgoat_gcp_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker exec -it terraformgoat_gcp_0.0.7 /bin/bash

Microsoft Azure

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker run -itd --name terraformgoat_azure_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker exec -it terraformgoat_azure_0.0.7 /bin/bash

📄 Demo

Nachdem Sie den Container betreten haben, wechseln Sie mit cd in das entsprechende Szenario-Verzeichnis und können mit der Bereitstellung des Szenarios beginnen.

Hier ist eine Demonstration des Szenario-Aufbaus Alibaba Cloud Bucket Object Traversal.

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

cd /TerraformGoat/aliyun/oss/bucket_object_traversal/
aliyun configure
terraform init
terraform apply

Das Programm fordert Enter a value: auf. Geben Sie yes ein und bestätigen Sie. Verwenden Sie dann curl, um auf den Bucket zuzugreifen – Sie werden den durchlaufenen Objektinhalt sehen.

Um zu vermeiden, dass der Cloud-Dienst weiterhin Kosten verursacht, denken Sie daran, das Szenario nach der Nutzung rechtzeitig zu zerstören.

terraform destroy

🚀 Deinstallation

Wenn Sie sich in einem Container befinden, führen Sie zunächst den Befehl exit aus, um den Container zu verlassen, und führen Sie dann den folgenden Befehl auf dem Host aus.

docker stop $(docker ps -a -q -f "name=terraformgoat*")
docker rm $(docker ps -a -q -f "name=terraformgoat*")
docker rmi $(docker images -a -q -f "reference=registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat*")

⚠️ Hinweis

1. Die README jeder verwundbaren Umgebung wird innerhalb der TerraformGoat-Containerumgebung ausgeführt, daher muss zuerst die TerraformGoat-Containerumgebung bereitgestellt werden.
2. Aufgrund des horizontalen Risikos innerhalb des Cloud-Netzwerks in einigen Szenarien wird dringend empfohlen, dass Benutzer ihre eigenen Testkonten zum Konfigurieren der Szenarien verwenden, die Verwendung des Cloud-Kontos der Produktionsumgebung vermeiden und TerraformGoat mit Dockerfile installieren, um das lokale Cloud-Anbieter-Token des Benutzers und das Testkonto-Token zu isolieren.
3. TerraformGoat dient nur zu Bildungszwecken. Es ist nicht erlaubt, es für illegale oder kriminelle Zwecke zu verwenden. Jegliche Folgen, die sich aus TerraformGoat ergeben, liegen in der Verantwortung des Benutzers, nicht der HXSecurity-Organisation.

🎊 Mitwirken

Beiträge sind willkommen und sehr geschätzt. Weitere Informationen zum Beitragsablauf finden Sie in CONTRIBUTING.md.

🪪 Lizenz

TerraformGoat steht unter der Apache-2.0-Lizenz. Siehe die Datei LICENSE für Details.

🔮 Statistiken