NodeGoat

Léger, rapide et évolutif, Node.js devient une plateforme largement adoptée pour le développement d'applications web. Ce projet fournit un environnement pour apprendre comment les risques de sécurité du Top 10 OWASP s'appliquent aux applications web développées avec Node.js et comment les traiter efficacement.

Pour commencer

Top 10 OWASP pour les applications web Node.js :

Sachez-le !

Cette application inclut une page de tutoriel qui explique les vulnérabilités du Top 10 OWASP et comment les corriger.

Une fois l'application en cours d'exécution, vous pouvez accéder à la page de tutoriel à l'adresse http://localhost:4000/tutorial (ou le port que vous avez configuré).

Faites-le !

Une application Node.js vulnérable pour les ninjas à exploiter, casser et corriger. Vous pouvez installer votre propre copie de l'application pour corriger et tester les vulnérabilités. Astuce : cherchez des commentaires dans le code source.

Comptes utilisateur par défaut

La base de données est pré-remplie avec ces comptes utilisateur créés dans le cadre des données initiales -

• Compte administrateur - u:admin p:Admin_123
• Comptes utilisateur (u:user1 p:User1_123), (u:user2 p:User2_123)
• De nouveaux utilisateurs peuvent également être ajoutés via la page d'inscription.

Comment installer votre propre copie de NodeGoat

OPTION 1 - Exécuter NodeGoat sur votre machine

1. Installez Node.js - NodeGoat nécessite Node v8 ou supérieur

2. Clonez le dépôt GitHub :

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Accédez au répertoire :

   root@kitploit:~

   cd NodeGoat
   

4. Installez les paquets node :

   root@kitploit:~

   npm install
   

5. Configurez MongoDB. Vous pouvez soit installer MongoDB localement, soit créer une instance distante :

   • Avec MongoDB local :

     1. Installez MongoDB Community Server
     2. Démarrez mongod

   • Avec une instance MongoDB distante :

     1. Déployez un cluster gratuit MongoDB Atlas (M0 Sandbox)
     2. Autorisez l'accès réseau au cluster depuis votre adresse IP actuelle
     3. Ajoutez un utilisateur de base de données au cluster
     4. Définissez la variable d'environnement MONGODB_URI sur la chaîne de connexion de votre cluster, qui peut être consultée dans la boîte de dialogue de connexion du cluster. Sélectionnez « Connect your application », définissez le pilote sur « Node.js » et la version sur « 2.2.12 or later ». Cela donnera une chaîne de connexion de la forme :
        root@kitploit:~

        mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
        

        Les champs et doivent être renseignés avec les détails de l'utilisateur de base de données ajouté précédemment. Le champ définit le nom de la base de données que nodegoat utilisera dans le cluster (par exemple « nodegoat »). Les autres champs seront déjà remplis avec les détails corrects pour votre cluster.

Personnalisation de la configuration par défaut de l'application

Par défaut, l'application sera hébergée sur le port 4000 et se connectera à une instance MongoDB à localhost:27017. Pour modifier cela, définissez les variables d'environnement PORT et MONGODB_URI.

D'autres paramètres peuvent être modifiés en mettant à jour le fichier de configuration.

OPTION 2 - Exécuter NodeGoat avec Docker

Le dépôt inclut les fichiers Dockerfile et docker-compose.yml nécessaires pour configurer l'application et l'instance de base de données, puis les connecter entre eux.

1. Installez docker et docker compose

2. Clonez le dépôt GitHub :

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Accédez au répertoire :

   root@kitploit:~

   cd NodeGoat
   

4. Construisez les images :

   root@kitploit:~

   docker-compose build
   

5. Exécutez l'application, cela lance l'application NodeGoat à l'adresse http://localhost:4000/ :

   root@kitploit:~

   docker-compose up
   

OPTION 3 - Déployer sur Heroku

Cette option utilise un serveur node Heroku gratuit (0 $/mois).

Bien que cela ne soit pas essentiel, il est recommandé de forker ce dépôt et de déployer le dépôt forké. Cela vous permettra de corriger les vulnérabilités dans votre propre version forké, puis de la déployer et de la tester sur Heroku.

1. Configurez une instance MongoDB accessible publiquement :

   1. Déployez un cluster gratuit MongoDB Atlas (M0 Sandbox)
   2. Autorisez l'accès réseau au cluster depuis n'importe où (plage CIDR 0.0.0.0/0)
   3. Ajoutez un utilisateur de base de données au cluster

2. Déployez NodeGoat sur Heroku en cliquant sur le bouton ci-dessous :

   

Dans la boîte de dialogue Create New App, définissez la variable de configuration MONGODB_URI sur la chaîne de connexion de votre cluster MongoDB Atlas. Celle-ci peut être consultée dans la boîte de dialogue de connexion du cluster. Sélectionnez « Connect your application », définissez le pilote sur « Node.js » et la version sur « 2.2.12 or later ». Cela donnera une chaîne de connexion de la forme :

mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority

Les champs <username> et <password> doivent être renseignés avec les détails de l'utilisateur de base de données ajouté précédemment. Le champ <dbname> définit le nom de la base de données que nodegoat utilisera dans le cluster (par exemple « nodegoat »). Les autres champs seront déjà remplis avec les détails corrects pour votre cluster.

Signaler des bugs, retours et commentaires

• Ouvrez une nouvelle issue ou contactez l'équipe en rejoignant le chat sur Slack ou

Contribuer

Veuillez suivre le guide de contribution

Code de conduite (CoC)

Ce projet est régi par un Code de conduite.

Contributeurs

Voici les incroyables contributeurs du projet NodeGoat.

Soutiens

• Merci à JetBrains d'avoir fourni des licences pour le fantastique IDE WebStorm afin de construire ce projet.

Licence

Code sous licence Apache License v2.0.