NodeGoat

Al ser ligero, rápido y escalable, Node.js se está convirtiendo en una plataforma ampliamente adoptada para el desarrollo de aplicaciones web. Este proyecto proporciona un entorno para aprender cómo se aplican los riesgos de seguridad del OWASP Top 10 a las aplicaciones web desarrolladas con Node.js y cómo abordarlos de forma eficaz.

Cómo empezar

OWASP Top 10 para aplicaciones web Node.js:

Conócelo

Esta aplicación incluye una página de tutorial que explica las vulnerabilidades del OWASP Top 10 y cómo corregirlas.

Una vez que la aplicación esté en ejecución, puedes acceder a la página del tutorial en http://localhost:4000/tutorial (o en el puerto que hayas configurado).

Hazlo

A Vulnerable Node.js App for Ninjas para explotar, romper y corregir. Puede que quieras configurar tu propia copia de la aplicación para corregir y probar vulnerabilidades. Pista: busca comentarios en el código fuente.

Cuentas de usuario predeterminadas

La base de datos viene precargada con estas cuentas de usuario creadas como parte de los datos semilla:

• Cuenta de administrador - u:admin p:Admin_123
• Cuentas de usuario (u:user1 p:User1_123), (u:user2 p:User2_123)
• También se pueden añadir nuevos usuarios mediante la página de registro.

Cómo configurar tu copia de NodeGoat

OPCIÓN 1 - Ejecutar NodeGoat en tu máquina

1. Instala Node.js - NodeGoat requiere Node v8 o superior

2. Clona el repositorio de GitHub:

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Ve al directorio:

   root@kitploit:~

   cd NodeGoat
   

4. Instala los paquetes de Node:

   root@kitploit:~

   npm install
   

5. Configura MongoDB. Puedes instalar MongoDB localmente o crear una instancia remota:

   • Usando MongoDB local:

     1. Instala MongoDB Community Server
     2. Inicia mongod

   • Usando una instancia remota de MongoDB:

     1. Despliega un clúster gratuito de MongoDB Atlas (M0 Sandbox)
     2. Habilita el acceso de red al clúster desde tu dirección IP actual
     3. Añade un usuario de base de datos al clúster
     4. Define la variable de entorno MONGODB_URI con la cadena de conexión de tu clúster, que puedes ver en el diálogo de conexión. Selecciona «Connect your application», define el driver como «Node.js» y la versión como «2.2.12 or later». Esto proporcionará una cadena de conexión con la forma:
        root@kitploit:~

        mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
        

        Los campos y deben rellenarse con los datos del usuario de base de datos añadido anteriormente. El campo define el nombre de la base de datos que nodegoat utilizará en el clúster (p. ej. «nodegoat»). El resto de campos ya vendrán rellenados con los datos correctos de tu clúster.

Personalización de la configuración predeterminada de la aplicación

Por defecto, la aplicación se alojará en el puerto 4000 y se conectará a una instancia de MongoDB en localhost:27017. Para cambiarlo, define las variables de entorno PORT y MONGODB_URI.

Otros ajustes pueden cambiarse actualizando el archivo de configuración.

OPCIÓN 2 - Ejecutar NodeGoat en Docker

El repositorio incluye el Dockerfile y docker-compose.yml necesarios para configurar la aplicación y la instancia de base de datos, y conectarlas entre sí.

1. Instala docker y docker compose

2. Clona el repositorio de GitHub:

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Ve al directorio:

   root@kitploit:~

   cd NodeGoat
   

4. Construye las imágenes:

   root@kitploit:~

   docker-compose build
   

5. Ejecuta la aplicación; esto arranca la aplicación NodeGoat en http://localhost:4000/:

   root@kitploit:~

   docker-compose up
   

OPCIÓN 3 - Desplegar en Heroku

Esta opción utiliza un servidor node de Heroku gratuito ($0/mes).

Aunque no es imprescindible, se recomienda hacer fork de este repositorio y desplegar el repositorio bifurcado. Esto te permitirá corregir vulnerabilidades en tu propia versión bifurcada y luego desplegarla y probarla en Heroku.

1. Configura una instancia de MongoDB de acceso público:

   1. Despliega un clúster gratuito de MongoDB Atlas (M0 Sandbox)
   2. Habilita el acceso de red al clúster desde cualquier lugar (rango CIDR 0.0.0.0/0)
   3. Añade un usuario de base de datos al clúster

2. Despliega NodeGoat en Heroku haciendo clic en el siguiente botón:

   

   En el diálogo Create New App, define la variable de configuración MONGODB_URI con la cadena de conexión de tu clúster de MongoDB Atlas. Puedes verla en el diálogo de conexión del clúster. Selecciona «Connect your application», define el driver como «Node.js» y la versión como «2.2.12 or later». Esto proporcionará una cadena de conexión con la forma:

   root@kitploit:~

   mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
   

   Los campos <username> y <password> deben rellenarse con los datos del usuario de base de datos añadido anteriormente. El campo <dbname> define el nombre de la base de datos que nodegoat utilizará en el clúster (p. ej. «nodegoat»). El resto de campos ya vendrán rellenados con los datos correctos de tu clúster.

Reportar errores, comentarios y sugerencias

• Abre un nuevo issue o ponte en contacto con el equipo uniéndote al chat en Slack o

Contribuir

Por favor, sigue la guía de contribución

Código de Conducta (CoC)

Este proyecto se rige por un Código de Conducta.

Colaboradores

Estos son los increíbles colaboradores del proyecto NodeGoat.

Apoyos

• Gracias a JetBrains por proporcionar las licencias del fantástico IDE WebStorm para construir este proyecto.

Licencia

Código bajo licencia Apache License v2.0.