Nimbostratus target

Este repositorio contiene una infraestructura objetivo que puedes usar para probar nimbostratus.

Este código despliega una infraestructura de Amazon AWS que tiene varias vulnerabilidades y configuraciones débiles que pueden explotarse usando nimbostratus.

Si no estás seguro de qué trata esto, mejor evita usar cualquiera de los códigos que viven aquí.

Instalación

sudo apt-get install python-mysqldb
git clone [email protected]:andresriancho/nimbostratus-target.git
cd nimbostratus-target
pip install -r requirements.txt

Uso

Iniciando el entorno

Asegúrate de haber configurado tus credenciales "root" de AWS en ~/.boto antes de ejecutar el script de fabric.

fab deploy

Los mensajes de la consola te mostrarán el progreso para que entiendas qué se despliega y dónde. Al final deberías tener los siguientes componentes de AWS:

• Instancia EC2 front-end con:
  • Servidor HTTP y aplicación web vulnerable
  • Celery configurado para usar SQS como broker
  • Desplegada usando script de user-data
  • Con un perfil de instancia que permite el acceso a SQS
• Worker backend:
  • Consume los mensajes SQS enviados por la instancia front-end
  • Usa pickle como método de serialización
  • Sin perfil de instancia configurado, credenciales AWS hard-codeadas
  • Las credenciales AWS pueden acceder a RDS:* y IAM:*
  • Almacena información en la base de datos RDS usando un usuario con pocos privilegios
• Base de datos RDS
• Usuario IAM para el worker backend

Una ejecución exitosa debería verse como esta.

Eliminando el entorno

Una vez que termines de jugar con esta nube de Amazon, simplemente elimínala con:

fab teardown

Descargo de responsabilidad

• Este código no fue desarrollado para ser reutilizable.
• ¡Ejecutar este código generará cargos en Amazon AWS!
• El comando teardown podría fallar; Amazon podría aplicar cargos incluso después de ejecutarlo. Eres responsable de revisar el estado de tus servicios después de ejecutar esta herramienta.