TerraformGoat

English | 中文

TerraformGoat est l'outil de déploiement multi-cloud « Vulnérable par conception » du laboratoire de recherche HXSecurity.

Les fournisseurs de cloud actuellement pris en charge incluent Alibaba Cloud, Tencent Cloud, Huawei Cloud, Amazon Web Services, Google Cloud Platform et Microsoft Azure.

🎯 Scénarios

💫 Installation

TerraformGoat est déployé à l'aide d'images Docker et nécessite donc un environnement Docker Engine. L'installation de Docker Engine est disponible sur https://docs.docker.com/engine/install/

Selon le fournisseur de services cloud que vous utilisez, choisissez la commande d'installation correspondante.

Alibaba Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

Tencent Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker run -itd --name terraformgoat_tencentcloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker exec -it terraformgoat_tencentcloud_0.0.7 /bin/bash

Huawei Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker run -itd --name terraformgoat_huaweicloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker exec -it terraformgoat_huaweicloud_0.0.7 /bin/bash

Amazon Web Services

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker run -itd --name terraformgoat_aws_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker exec -it terraformgoat_aws_0.0.7 /bin/bash

Google Cloud Platform

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker run -itd --name terraformgoat_gcp_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker exec -it terraformgoat_gcp_0.0.7 /bin/bash

Microsoft Azure

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker run -itd --name terraformgoat_azure_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker exec -it terraformgoat_azure_0.0.7 /bin/bash

📄 Démo

Une fois dans le conteneur, allez dans le répertoire du scénario correspondant avec cd et commencez à déployer le scénario.

Voici une démonstration de la construction du scénario Parcours des objets du bucket Alibaba Cloud.

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

cd /TerraformGoat/aliyun/oss/bucket_object_traversal/
aliyun configure
terraform init
terraform apply

Le programme invite Enter a value:, tapez yes et appuyez sur Entrée, puis utilisez curl pour accéder au bucket. Vous pouvez voir les objets parcourus.

Pour éviter que le service cloud continue à générer des frais, n'oubliez pas de détruire le scénario après utilisation.

terraform destroy

🚀 Désinstallation

Si vous êtes dans un conteneur, exécutez d'abord la commande exit pour quitter le conteneur, puis exécutez la commande suivante sur l'hôte.

docker stop $(docker ps -a -q -f "name=terraformgoat*")
docker rm $(docker ps -a -q -f "name=terraformgoat*")
docker rmi $(docker images -a -q -f "reference=registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat*")

⚠️ Avis

1. Le README de chaque environnement vulnérable est exécuté dans l'environnement conteneur TerraformGoat. Par conséquent, l'environnement conteneur TerraformGoat doit d'abord être déployé.
2. En raison du risque de latéralisation intra-réseau sur le cloud dans certains scénarios, il est fortement recommandé aux utilisateurs d'utiliser leurs propres comptes de test pour configurer les scénarios, d'éviter d'utiliser le compte cloud de l'environnement de production, et d'installer TerraformGoat à l'aide du Dockerfile pour isoler le token local du fournisseur cloud de l'utilisateur et le token du compte de test.
3. TerraformGoat est utilisé à des fins éducatives uniquement. Il n'est pas autorisé à être utilisé à des fins illégales ou criminelles. Toute conséquence découlant de l'utilisation de TerraformGoat est de la responsabilité de la personne qui l'utilise, et non de l'organisation HXSecurity.

🎊 Contribution

Les contributions sont les bienvenues et grandement appréciées. Pour plus d'informations sur le flux de travail des contributions, veuillez consulter CONTRIBUTING.md.

🪪 Licence

TerraformGoat est sous licence Apache 2.0. Voir le fichier LICENSE pour plus de détails.

🔮 Statistiques