Juice Shop Logo OWASP Juice Shop

Test Coverage Maintainability

Der vertrauenswürdigste Online-Shop da draußen. (@dschadow) — Der beste Juice-Shop im ganzen Internet! (@shehackspurple) — Eigentlich die fehlerbereiteste unsichere Anwendung, die es gibt! (@vanderaj) — Erst 😂😂 dann 😢 (@kramse) — Aber das hat nichts mit Saft zu tun. (@coderPatros' Frau)

OWASP Juice Shop ist vermutlich die modernste und ausgefeilteste unsichere Webanwendung! Sie kann in Sicherheitstrainings, Awareness-Demos, CTFs und als Versuchskaninchen für Sicherheitstools eingesetzt werden! Juice Shop umfasst Schwachstellen aus dem gesamten OWASP Top Ten sowie viele andere Sicherheitslücken, die in realen Anwendungen zu finden sind!

Eine detaillierte Einführung, eine vollständige Liste der Funktionen und eine Architekturübersicht finden Sie auf der offiziellen Projektseite: https://owasp-juice.shop

Inhaltsverzeichnis

• Setup
  • Auf Heroku bereitstellen (kostenloser ($0/Monat) Dyno)
  • Aus dem Quellcode
  • Paketierte Distributionen
  • Docker-Container
  • Vagrant
  • Amazon EC2-Instanz
  • Azure Container-Instanz
  • Google Compute Engine-Instanz
• Demo
• Dokumentation
  • Node.js-Version-Kompatibilität
  • Fehlerbehebung
  • Offizieller Begleitführer
• Mitwirken
• Referenzen
• Merchandise
• Spenden
• Mitwirkende
• Lizenz

Setup

Einige weniger verbreitete Installationsvarianten finden Sie in der Dokumentation Running OWASP Juice Shop.

Auf Heroku bereitstellen (kostenloser ($0/Monat) Dyno)

1. Melden Sie sich bei Heroku an und loggen Sie sich in Ihr Konto ein
2. Klicken Sie auf den untenstehenden Button und folgen Sie den Anweisungen

Dies ist der schnellste Weg, eine laufende Instanz von Juice Shop zu bekommen! Wenn Sie dieses Repository geforkt haben, wählt der Deploy-Button automatisch Ihren Fork für die Bereitstellung aus! Solange Sie keine DDoS-Angriffe durchführen, können Sie jedes beliebige Tool oder Skript verwenden, um Ihre Juice Shop-Instanz auf Heroku zu hacken!

Aus dem Quellcode

1. Installieren Sie node.js
2. Führen Sie git clone https://github.com/bkimminich/juice-shop.git aus (oder klonen Sie Ihren eigenen Fork des Repositorys)
3. Wechseln Sie in den geklonten Ordner mit cd juice-shop
4. Führen Sie npm install aus (muss nur vor dem ersten Start oder bei Änderungen am Quellcode durchgeführt werden)
5. Führen Sie npm start aus
6. Öffnen Sie http://localhost:3000 in Ihrem Browser

Paketierte Distributionen

1. Installieren Sie eine 64-Bit-Version von node.js auf Ihrem Windows-, MacOS- oder Linux-Rechner
2. Laden Sie juice-shop-<version>_<node-version>_<os>_x64.zip (oder .tgz) herunter, das an die neueste Version angehängt ist
3. Entpacken Sie die Datei und wechseln Sie mit cd in den entpackten Ordner
4. Führen Sie npm start aus
5. Öffnen Sie http://localhost:3000 in Ihrem Browser

Jede paketierte Distribution enthält einige Binärdateien für sqlite3 und libxmljs, die an das Betriebssystem und die node.js-Version gebunden sind, auf der npm install ausgeführt wurde.

Docker-Container

1. Installieren Sie Docker
2. Führen Sie docker pull bkimminich/juice-shop aus
3. Führen Sie docker run --rm -p 3000:3000 bkimminich/juice-shop aus
4. Öffnen Sie http://localhost:3000 (unter macOS und Windows öffnen Sie http://192.168.99.100:3000, wenn Sie docker-machine anstelle der nativen Docker-Installation verwenden)

Vagrant

1. Installieren Sie Vagrant und Virtualbox
2. Führen Sie git clone https://github.com/bkimminich/juice-shop.git aus (oder klonen Sie Ihren eigenen Fork des Repositorys)
3. Führen Sie cd vagrant && vagrant up aus
4. Öffnen Sie 192.168.33.10:3000

Amazon EC2-Instanz

1. Wählen Sie im EC2-Seitenmenü Instances und klicken Sie auf Launch Instance
2. Wählen Sie in Step 1: Choose an Amazon Machine Image (AMI) eine Amazon Linux AMI oder Amazon Linux 2 AMI
3. Klappen Sie in Step 3: Configure Instance Details Advanced Details auf und kopieren Sie das folgende Skript in User Data
4. Fügen Sie in Step 6: Configure Security Group eine Regel hinzu, die Port 80 für HTTP öffnet
5. Starten Sie Ihre Instanz
6. Öffnen Sie die öffentliche DNS-Adresse Ihrer Instanz

#!/bin/bash
yum update -y
yum install -y docker
service docker start
docker pull bkimminich/juice-shop
docker run -d -p 80:3000 bkimminich/juice-shop

Azure Container-Instanz

1. Öffnen Sie Ihre Azure CLI und melden Sie sich an (via az login) oder melden Sie sich im Azure Portal an, öffnen Sie die CloudShell und wählen Sie dann Bash (nicht PowerShell).
2. Erstellen Sie eine Ressourcengruppe mit az group create --name <Gruppenname> --location <Standortname, z.B. "centralus">
3. Erstellen Sie einen neuen Container mit az container create --resource-group <Gruppenname> --name <Containername> --image bkimminich/juice-shop --dns-name-label <DNS-Name-Label> --ports 3000 --ip-address public
4. Ihr Container ist verfügbar unter http://<DNS-Name-Label>.<Standortname>.azurecontainer.io:3000

Google Compute Engine-Instanz

1. Melden Sie sich in der Google Cloud Console an und öffnen Sie Cloud Shell.
2. Starten Sie eine neue GCE-Instanz basierend auf dem Juice-Shop-Container. Notieren Sie die EXTERNAL_IP aus der Ausgabe.

gcloud compute instances create-with-container owasp-juice-shop-app --container-image bkimminich/juice-shop

3. Erstellen Sie eine Firewall-Regel, die eingehenden Datenverkehr auf Port 3000 erlaubt

gcloud compute firewall-rules create juice-rule --allow tcp:3000

4. Ihr Container läuft nun und ist verfügbar unter http://<EXTERNAL_IP>:3000/

Demo

Sie können sich gerne die neueste Version von OWASP Juice Shop ansehen: http://demo.owasp-juice.shop

Dies ist nur eine Bereitstellungs-Test- und Vorschau-Instanz! Sie sind nicht dazu gedacht, diese Instanz für Ihre eigenen Hacking-Aktivitäten zu nutzen! Keine garantierte Verfügbarkeit! Garantierte strenge Blicke, wenn Sie sie kaputt machen!

Dokumentation

Node.js-Version-Kompatibilität

OWASP Juice Shop unterstützt offiziell die folgenden Versionen von node.js in Übereinstimmung mit dem offiziellen node.js LTS-Zeitplan so genau wie möglich. Docker-Images und paketierte Distributionen werden entsprechend angeboten.

Juice Shop wird automatisch nur auf der neuesten .x-Minor-Version jeder oben genannten node.js-Version getestet! Es gibt keine Garantie, dass ältere Minor-Versionen von node.js immer mit Juice Shop funktionieren! Bitte stellen Sie sicher, dass Sie mit Ihrer gewählten Version auf dem neuesten Stand bleiben.

Fehlerbehebung

Wenn Sie Hilfe bei der Einrichtung der Anwendung benötigen, lesen Sie bitte unsere bestehende Fehlerbehebungs-Anleitung. Wenn dies Ihr Problem nicht löst, posten Sie bitte Ihr spezifisches Problem oder Ihre Frage im Gitter Chat, wo Community-Mitglieder Ihnen bestmöglich helfen können.

🛑 Bitte vermeiden Sie es, GitHub-Issues für Supportanfragen oder Fragen zu öffnen!

Offizieller Begleitführer

OWASP Juice Shop wird von einem offiziellen Begleitführer als E-Book begleitet. Er gibt Ihnen einen vollständigen Überblick über alle Sicherheitslücken in der Anwendung, einschließlich Hinweisen, wie Sie sie erkennen und ausnutzen können. Im Anhang finden Sie sogar vollständige Schritt-für-Schritt-Lösungen für jede Herausforderung. Eine umfangreiche Dokumentation zum benutzerdefinierten Rebranding, CTF-Unterstützung, Trainerhandbuch und vieles mehr ist ebenfalls enthalten.

Pwning OWASP Juice Shop wird unter CC BY-NC-ND 4.0 veröffentlicht und ist kostenlos als PDF, Kindle und ePub auf LeanPub erhältlich. Sie können auch den vollständigen Inhalt online durchsuchen!

Pwning OWASP Juice Shop Cover

Mitwirken

Wir freuen uns immer über neue Mitwirkende! Bitte lesen Sie CONTRIBUTING.md, um zu erfahren, wie Sie zu unserem Codebase beitragen oder die Übersetzung in verschiedene Sprachen unterstützen können!

Referenzen

Haben Sie einen Blogbeitrag, einen Zeitschriftenartikel oder einen Podcast über oder mit Erwähnung von OWASP Juice Shop geschrieben? Oder haben Sie einen Konferenzvortrag oder Meetup-Sitzung, einen Hacking-Workshop oder ein öffentliches Training gehalten oder daran teilgenommen, bei dem dieses Projekt erwähnt wurde?

Fügen Sie es unserer ständig wachsenden Liste REFERENCES.md hinzu, indem Sie einen Fork erstellen und einen Pull Request öffnen!

Merchandise

• Auf Spreadshirt.com und Spreadshirt.de können Sie Fanartikel (Shirts, Hoodies, Tassen) mit dem offiziellen OWASP Juice Shop Logo erhalten
• Auf StickerYou.com können Sie Varianten des OWASP Juice Shop Logos als einzelne Aufkleber zur Dekoration Ihres Laptops erhalten. Sie können auch Magnete, Bügelbilder, Aufkleberbögen und temporäre Tattoos drucken lassen.

Der ehrenvollste Weg, um Aufkleber zu erhalten, ist zum Projekt beizutragen, indem Sie ein Problem beheben, einen schwerwiegenden Fehler finden oder eine gute Idee für eine neue Herausforderung einreichen!

Wir versorgen Sie auch gerne mit Aufklebern, wenn Sie ein Meetup oder eine Konferenzveranstaltung organisieren, bei der Sie den OWASP Juice Shop verwenden, darüber sprechen oder ihn hacken! Kontaktieren Sie einfach die Mailingliste oder den Projektleiter, um Ihre Pläne zu besprechen!

Spenden

Die OWASP Foundation nimmt dankbar Spenden über Stripe entgegen. Projekte wie Juice Shop können dann Erstattungen von Ausgaben bei der Foundation beantragen. Wenn Sie Ihre Unterstützung für das Juice Shop Projekt ausdrücken möchten, stellen Sie bitte sicher, dass Sie das Kontrollkästchen "Publicly list me as a supporter of OWASP Juice Shop" auf dem Spendenformular aktivieren. Weitere Informationen über Spenden und deren Verwendung finden Sie hier:

https://pwning.owasp-juice.shop/part3/donations.html

Mitwirkende

Das Kernteam des OWASP Juice Shop Projekts besteht aus:

• Björn Kimminich alias bkimminich (Projektleiter)
• Jannik Hollenbach alias J12934
• Timo Pagel alias wurstbrot

Eine Liste aller Mitwirkenden am OWASP Juice Shop finden Sie in unserer HALL_OF_FAME.md.

Lizenz

Dieses Programm ist freie Software: Sie können es unter den Bedingungen der MIT-Lizenz weiterverbreiten und/oder modifizieren. OWASP Juice Shop und alle Beiträge sind urheberrechtlich geschützt © Bjoern Kimminich 2014-2021.

Juice Shop Logo