NodeGoat

Da Node.js leichtgewichtig, schnell und skalierbar ist, wird es zunehmend zu einer weit verbreiteten Plattform für die Entwicklung von Webanwendungen. Dieses Projekt bietet eine Umgebung, um zu lernen, wie die Sicherheitsrisiken der OWASP Top 10 auf Webanwendungen zutreffen, die mit Node.js entwickelt wurden, und wie man sie effektiv behebt.

Erste Schritte

OWASP Top 10 für Node.js-Webanwendungen:

Verstehen!

Diese Anwendung enthält eine Tutorial-Seite, die die Schwachstellen der OWASP Top 10 erklärt und wie man sie behebt.

Sobald die Anwendung läuft, kannst du die Tutorial-Seite unter http://localhost:4000/tutorial aufrufen (oder den Port, den du konfiguriert hast).

Anwenden!

A Vulnerable Node.js App for Ninjas zum Ausnutzen, Zerstören und Beheben. Du möchtest vielleicht deine eigene Kopie der App einrichten, um Schwachstellen zu beheben und zu testen. Hinweis: Achte auf Kommentare im Quellcode.

Standard-Benutzerkonten

Die Datenbank wird mit diesen Benutzerkonten ausgeliefert, die als Teil der Seed-Daten erstellt wurden:

• Admin-Konto - u:admin p:Admin_123
• Benutzerkonten (u:user1 p:User1_123), (u:user2 p:User2_123)
• Neue Benutzer können auch über die Registrierungsseite hinzugefügt werden.

So richtest du deine eigene Kopie von NodeGoat ein

OPTION 1 - NodeGoat auf deinem Rechner ausführen

1. Installiere Node.js - NodeGoat erfordert Node v8 oder höher

2. Klone das GitHub-Repository:

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Wechsle in das Verzeichnis:

   root@kitploit:~

   cd NodeGoat
   

4. Installiere die Node-Pakete:

   root@kitploit:~

   npm install
   

5. Richte MongoDB ein. Du kannst MongoDB entweder lokal installieren oder eine entfernte Instanz erstellen:

   • Verwendung einer lokalen MongoDB:

     1. Installiere MongoDB Community Server
     2. Starte mongod

   • Verwendung einer entfernten MongoDB-Instanz:

     1. Stelle einen kostenlosen MongoDB-Atlas-Cluster (Free Tier) bereit (M0 Sandbox)
     2. Aktiviere den Netzwerkzugriff auf den Cluster von deiner aktuellen IP-Adresse aus
     3. Füge einen Datenbankbenutzer zum Cluster hinzu
     4. Setze die MONGODB_URI-Umgebungsvariable auf den Verbindungsstring deines Clusters, der im Verbindungsdialog des Clusters angezeigt werden kann. Wähle „Connect your application", stelle den Treiber auf „Node.js" und die Version auf „2.2.12 or later". Dies ergibt einen Verbindungsstring in der Form:
        root@kitploit:~

        mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
        

        Die Felder und müssen mit den Daten des zuvor hinzugefügten Datenbankbenutzers ausgefüllt werden. Das Feld legt den Namen der Datenbank fest, die nodegoat im Cluster verwenden wird (z. B. „nodegoat"). Die anderen Felder sind bereits mit den korrekten Details für deinen Cluster ausgefüllt.

Anpassen der Standard-Anwendungskonfiguration

Standardmäßig wird die Anwendung auf Port 4000 gehostet und verbindet sich mit einer MongoDB-Instanz unter localhost:27017. Um dies zu ändern, setze die Umgebungsvariablen PORT und MONGODB_URI.

Weitere Einstellungen können durch Aktualisieren der Konfigurationsdatei geändert werden.

OPTION 2 - NodeGoat mit Docker ausführen

Das Repository enthält die Dockerfile und docker-compose.yml, die benötigt werden, um die App- und die DB-Instanz einzurichten und miteinander zu verbinden.

1. Installiere docker und docker compose

2. Klone das GitHub-Repository:

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Wechsle in das Verzeichnis:

   root@kitploit:~

   cd NodeGoat
   

4. Baue die Images:

   root@kitploit:~

   docker-compose build
   

5. Führe die App aus. Dadurch wird die NodeGoat-Anwendung unter http://localhost:4000/ gestartet:

   root@kitploit:~

   docker-compose up
   

OPTION 3 - Auf Heroku bereitstellen

Diese Option verwendet einen kostenlosen Heroku-Node-Server ($0/Monat).

Obwohl nicht unbedingt erforderlich, wird empfohlen, dieses Repository zu forken und das geforkte Repository bereitzustellen. So kannst du Schwachstellen in deiner eigenen Fork-Version beheben und sie dann auf Heroku bereitstellen und testen.

1. Richte eine öffentlich zugängliche MongoDB-Instanz ein:

   1. Stelle einen kostenlosen MongoDB-Atlas-Cluster (Free Tier) bereit (M0 Sandbox)
   2. Aktiviere den Netzwerkzugriff auf den Cluster von überall aus (CIDR-Bereich 0.0.0.0/0)
   3. Füge einen Datenbankbenutzer zum Cluster hinzu

2. Stelle NodeGoat auf Heroku bereit, indem du auf den folgenden Button klickst:

   

   Setze im Dialog „Create New App" die Konfigurationsvariable MONGODB_URI auf den Verbindungsstring deines MongoDB-Atlas-Clusters. Dieser kann im Verbindungsdialog des Clusters eingesehen werden. Wähle „Connect your application", stelle den Treiber auf „Node.js" und die Version auf „2.2.12 or later". Dies ergibt einen Verbindungsstring in der Form:

   root@kitploit:~

   mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
   

   Die Felder <username> und <password> müssen mit den Daten des zuvor hinzugefügten Datenbankbenutzers ausgefüllt werden. Das Feld <dbname> legt den Namen der Datenbank fest, die nodegoat im Cluster verwenden wird (z. B. „nodegoat"). Die anderen Felder sind bereits mit den korrekten Details für deinen Cluster ausgefüllt.

Fehler melden, Feedback, Kommentare

• Eröffne ein neues Issue oder kontaktiere das Team, indem du dem Chat auf Slack beitrittst, oder

Mitwirken

Bitte folge dem Mitwirkungsleitfaden

Verhaltenskodex (CoC)

Dieses Projekt unterliegt einem Verhaltenskodex.

Mitwirkende

Hier sind die großartigen Mitwirkenden am NodeGoat-Projekt.

Unterstützung

• Dank an JetBrains für die Bereitstellung von Lizenzen für die fantastische WebStorm-IDE, mit der dieses Projekt entwickelt wurde.

Lizenz

Code lizenziert unter der Apache License v2.0.