Architektur (hohe Ebene)

Die Dienste sind über ein dediziertes Docker-Bridge-Netzwerk verbunden (standardmäßig 172.20.0.0/16). Ein Angreifer-Container ist enthalten, um kontrollierte Exploit-Versuche gegen den isolierten MindsDB-Dienst auszuführen.

Ports (Host → Container)

• 80 → nginx-Proxy
• 443 → nginx-Proxy (falls SSL aktiviert)
• 8080 → Reverse-Proxy-Dashboard
• 47334 → MindsDB (API/Web)
• 47335 → MindsDB (API/Hilfsfunktion)
• 5432 → Postgres (intern, nicht empfohlen freizugeben)
• 9200 → Elasticsearch
• 5601 → Kibana
• 1025/8025 → Mailhog (SMTP/Web)

Standardmäßig ist Postgres nicht dafür vorgesehen, dem öffentlichen Internet ausgesetzt zu werden. Die Compose-Datei mappt interne Dienste für die lokale Labornutzung.

Schnellstart (lokal)

Voraussetzungen:

• Docker (v20+) und Docker Compose v2+ (docker compose)
• Mindestens 8 GB RAM für eine vollständige Bereitstellung empfohlen (Elasticsearch + Kibana benötigen Speicher)

1. Repository klonen:

2. Beispiel-Umgebungsdatei kopieren und Geheimnisse überprüfen:

Wichtig: Stellen Sie sicher, dass DB_PASSWORD in .env mit dem Passwort übereinstimmt, das die Compose-Datei erwartet. Es gibt einen Standardwert in docker-compose.yml (${DB_PASSWORD:-P@ssw0rd123!}). Setzen Sie entweder DB_PASSWORD=P@ssw0rd123! in .env oder bearbeiten Sie docker-compose.yml, um das von Ihnen bevorzugte Passwort zu verwenden. Wenn sie nicht übereinstimmen, kann MindsDB keine Verbindung zu Postgres herstellen und die Dienste starten nicht korrekt.

3. (Optional) .env bearbeiten, um das Verhalten anzupassen (Funktionen aktivieren/deaktivieren, Angreifer-Listener-IP festlegen usw.).

4. Labor starten (Vollmodus):

5. Diese Endpunkte überprüfen, sobald die Dienste fehlerfrei sind:

• MindsDB: curl http://localhost:47334/api/status
• Kibana: http://localhost:5601
• Reverse-Proxy-Dashboard: http://localhost:8080

6. Zum Stoppen und Entfernen der Container:

Zum Entfernen der Volumes (zerstörerisch):

Profile und Ressourcenoptionen

Die README verweist auf minimale und Monitoring-Profile. Um diese zu unterstützen, können Sie entweder:

• profiles:-Schlüssel in docker-compose.yml verwenden, um Dienste in minimal- und monitoring-Profile zu trennen, oder
• Eine Override-Compose-Datei wie docker-compose.minimal.yml erstellen, die schwere Komponenten (Elasticsearch/Kibana/Wazuh) für ressourcenarme Tests deaktiviert.

Ein vorgeschlagener minimaler Testansatz besteht darin, Elasticsearch/Kibana/Wazuh auszukommentieren oder zu überspringen und nur Folgendes auszuführen: mindsdb, postgres, nginx-proxy und attacker.

Wie das Labor funktioniert (detailliert)

• Reverse Proxy (nginx-proxy): fungiert als extern ausgerichteter Endpunkt und leitet Angreifer-Traffic an den verwundbaren MindsDB-Dienst weiter. Der Proxy bietet außerdem einen einfachen Dashboard-Port (8080) für schnelle Überprüfungen.

• MindsDB (verwundbares Image): gepackt aus der verwundbaren Version, auf die in der README verwiesen wird. Es speichert Daten in Postgres und stellt API-Endpunkte bereit, die in älteren Versionen absichtlich verwundbar sind.

• Postgres: speichert MindsDB-Konfiguration und Artefakte. Initialisierungs-SQL und Seed-Daten werden in configs/postgres/*.sql bereitgestellt.

• ELK Stack (Elasticsearch, Logstash, Kibana): sammelt Protokolle vom Proxy und der Anwendung, damit Sie Erkennungsregeln und Dashboards erstellen können.

• Wazuh (optional): Sicherheitsüberwachungs-Agent und -Manager. Als Platzhalter enthalten, um die Integration zu demonstrieren; TLS-Zertifikate und Anmeldeinformationen in der Konfiguration sind Platzhalter und müssen für die volle Funktionalität bereitgestellt werden.

• Angreifer-Container: eine Umgebung mit Dienstprogrammen (curl, netcat, python) und gemountetem exploits/-Ordner, um Herausforderungsskripte aus demselben Docker-Netzwerk auszuführen (bei Bedarf von Ihrem Host-Netzwerk isoliert).

• Backup-Dienst: Beispielcontainer zur Demonstration realistischer Unternehmens-Workflows (Backups, die DB-Dumps von Postgres ziehen).

Wie man das Labor nutzt (Übungsablauf)

1. Labor starten (siehe Schnellstart).
2. Führen Sie von Ihrem Host oder durch Betreten des Angreifer-Containers (docker compose exec -it attacker /bin/bash) Aufklärung gegen den Proxy (Port 80/8080) und die MindsDB-API (47334) durch.
3. Arbeiten Sie sich durch die Lernstufen (Aufklärung → Path Traversal → RCE → Persistenz → Verteidigung). Dieses Repository enthält absichtlich keinen einsatzfähigen Exploit-Code. Wenn Sie Herausforderungsskripte oder bereinigte PoC-Schritte wünschen, können wir diese unter exploits/ und docs/challenges/ mit Anleitung und Sicherheitsprüfungen hinzufügen.
4. Beobachten Sie Protokolle in ELK und verwenden Sie die enthaltene Sigma-Regel (rules/sigma/cve-2026-27483.yml) als Ausgangspunkt für Erkennungen. Erstellen Sie Kibana-Visualisierungen, um verdächtige Upload-Pfade, anomale Anfragen und unerwartete Dateisystemaktivitäten hervorzuheben.

Beispiel: Führen Sie eine grundlegende Aufklärung vom Angreifer-Container aus durch

Smoke-Tests

Ein Smoke-Test-Skript wird unter scripts/smoke_test.sh bereitgestellt (falls vorhanden). Es führt folgende Prüfungen durch:

• Baut den Compose-Stack auf und startet ihn
• Wartet darauf, dass MindsDB /api/status antwortet
• Überprüft, ob der nginx-Reverse-Proxy auf Port 8080 antwortet
• Prüft den Kibana-Statusendpunkt
• Wartet auf die Elasticsearch-Cluster-Gesundheit (gelb|grün)
• Überprüft die Postgres-Bereitschaft mit pg_isready

Lokal ausführen:

Wenn der Smoke-Test fehlschlägt, sammeln Sie Protokolle in smoke_compose_logs.txt und teilen Sie sie zur Fehlerbehebung:

Erkennung & Protokollierung

• Die Logstash-Pipeline wird in configs/logstash/logstash.conf bereitgestellt, um Protokolle an Elasticsearch weiterzuleiten. Die enthaltene Sigma-Regel rules/sigma/cve-2026-27483.yml ist ein einfaches Beispiel, das verdächtige Path-Traversal-Muster (Anfragen mit ..) kennzeichnet. Verwenden Sie sie als Ausgangspunkt und verfeinern Sie sie, um Fehlalarme zu reduzieren.

• Erstellen Sie Kibana-Dashboards zur Visualisierung von:

  • Upload-/Anfrage-URIs mit Traversal-Mustern
  • Anomalen User-Agents und Quell-IPs
  • Änderungen in dateisystembezogenen Protokollen

Fehlerbehebung (häufige Probleme)

• Postgres-Authentifizierungsfehler: Dies ist in der Regel auf eine DB-Passwort-Diskrepanz zwischen .env und docker-compose.yml zurückzuführen. Stellen Sie sicher, dass beide dasselbe Geheimnis verwenden.
• MindsDB-Fehler/500er: Überprüfen Sie docker compose logs -f mindsdb auf Stack-Traces und DB-Konnektivitätsfehler.
• Elasticsearch OOM oder startet nicht: Erhöhen Sie den Host-RAM oder reduzieren Sie ES_JAVA_OPTS in docker-compose.yml (Beispiel: -Xms256m -Xmx256m) für kleine Hosts.
• Nginx-Healthcheck schlägt fehl: Stellen Sie sicher, dass die Proxy-Konfiguration auf den korrekten internen Host zeigt (mindsdb:47334) und dass der Mindsdb-Container fehlerfrei ist.

Wenn Sie Hilfe bei der Fehlerbehebung benötigen, führen Sie den Smoke-Test aus und teilen Sie smoke_compose_logs.txt.

Sicherheit & Rechtliches

• Das Labor enthält absichtlich verwundbare Komponenten. Nur in isolierten, nicht-produktiven Umgebungen verwenden.
• Stellen Sie dieses Labor nicht auf öffentlich routbarer Infrastruktur bereit.
• Halten Sie Exploit-Code aus öffentlichen Commits heraus; wenn Sie PoC-Schritte einfügen, bereinigen Sie diese und befolgen Sie Praktiken der verantwortungsvollen Offenlegung.

Mitwirken

Beiträge sind willkommen. Vorgeschlagene Möglichkeiten zur Unterstützung:

• Dokumentation unter docs/ verbessern (Bereitstellung, Herausforderungen, Erkennung, Incident-Response)
• Bereinigte Herausforderungsskripte in exploits/ mit Schritt-für-Schritt-Lernanleitungen hinzufügen
• Smoke-Tests und CI-Workflows hinzufügen, um das Labor bei Push/PR zu validieren

Bitte erstellen Sie PRs gegen main und befolgen Sie die CONTRIBUTING-Richtlinien, wenn Sie lehrreiches Exploit-Material hinzufügen.

Danksagungen

• Schwachstellenentdeckung: XlabAITeam
• Original-PoC: Lohitya Pushkar (thewhiteh4t)
• Labor-Entwicklung: Security Research Community

Mit ❤️ für die Sicherheits-Community erstellt.