WebSocket GOAT

Una aplicación WebSocket deliberadamente vulnerable y dockerizada, diseñada para aprender y practicar pruebas de seguridad en WebSocket en un entorno controlado.

El laboratorio implementa una aplicación web realista con autenticación, mensajería privada, perfiles de usuario y múltiples endpoints WebSocket. Cada funcionalidad ofrece una oportunidad para estudiar cómo surgen las vulnerabilidades específicas de WebSocket cuando la autenticación, la autorización y los controles de seguridad a nivel de aplicación se implementan incorrectamente.

Inicio

docker compose up --build

Abrir:

http://localhost:3000

Prueba

Crea dos cuentas en dos perfiles de navegador o ventanas de incógnito.

Ejemplo:

Usuario A:

• registrarse como alice
• contraseña password123

Usuario B:

• registrarse como bob
• contraseña password123

Cada cuenta recibe un código de usuario de 8 caracteres.

Introduce el código de Bob desde la sesión de Alice. Introduce el código de Alice desde la sesión de Bob. Los dos clientes se unirán a la misma conversación.

Guía

Escribí un walkthrough de los bugs presentes en el laboratorio, y se actualizará regularmente.

También te animo a ver esta charla de OWASP

y este video de BBRE

Referencias

https://websocket.org/guides/authentication/

https://christian-schneider.net/blog/cross-site-websocket-hijacking/