LazyWeb - Verwundbare Webanwendung

LazyWeb ist eine Demonstrations-Webanwendung, die entwickelt wurde, um häufige serverseitige Anwendungssicherheitslücken zu zeigen. Jede Sicherheitslücke ist mit ihrem jeweiligen Schwierigkeitsgrad kategorisiert, um Entwicklern und Sicherheitsenthusiasten eine umfassende Lernerfahrung zu bieten.

Hauptfunktionen

• Zeigt reale Sicherheitslücken in Webanwendungen.
• Reicht von grundlegenden bis hin zu fortgeschrittenen Sicherheitsmängeln und ermöglicht es Benutzern, ihre Fähigkeiten auf verschiedenen Niveaus zu testen.
• Zielt darauf ab, Sicherheitsexperten zu helfen, die Art von Sicherheitslücken zu verstehen und zu erfahren, wie man sie entschärft.

Enthaltene Sicherheitslücken

Die Anwendung enthält die folgenden Sicherheitslücken:

• OS-Befehlseinschleusung
• SQL-Injection
• XML-External-Entity-Injection (XXE)
• Unsicherer direkter Objektverweis (IDOR)
• Lokaler Dateieinschluss (LFI)
• Unsicheres Datei-Upload
• Willkürliche Sitzungszuweisung
• Fehlerhafte Autorisierung
• Fehlerhafte Authentifizierung
• .git-Ordner-Offenlegung (falls direkt in das Web-Root-Verzeichnis geklont)

Bereitstellungsanweisungen

Um mit dem Projekt zu beginnen, führen Sie einfach den folgenden Befehl aus:

docker-compose up

Dies richtet die Umgebung ein und startet die Anwendung mit Docker.

Wichtige Hinweise

• Stellen Sie sicher, dass die Verzeichnisse templates_c und user/avatar die korrekte Besitzerberechtigung haben. Führen Sie nach der Bereitstellung aus:

  root@kitploit:~

  sudo chown www-data:www-data templates_c user/avatar
  

Lösungsbeschreibungen und Ressourcen

• LFI to RCE via PHAR
• Writeup on Pojiiix

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert - siehe die Datei LICENSE für Details.