LazyWeb - Application Web Vulnérable

LazyWeb est une application web de démonstration conçue pour présenter les vulnérabilités courantes côté serveur. Chaque vulnérabilité est catégorisée avec son niveau de difficulté respectif afin d'offrir une expérience d'apprentissage complète aux développeurs et aux passionnés de sécurité.

Fonctionnalités clés

• Présente des vulnérabilités réelles dans les applications web.
• Va des failles de sécurité basiques aux avancées, permettant aux utilisateurs de tester leurs compétences à différents niveaux.
• Vise à aider les professionnels de la sécurité à comprendre la nature des vulnérabilités et comment les atténuer.

Vulnérabilités incluses

L'application inclut les vulnérabilités suivantes :

• Injection de commandes OS
• Injection SQL
• Injection d'entités externes XML (XXE)
• Référence directe d'objet non sécurisée (IDOR)
• Inclusion locale de fichier (LFI)
• Téléchargement de fichier non sécurisé
• Attribution de session arbitraire
• Autorisation cassée
• Authentification cassée
• Divulgation du dossier .git (si cloné directement dans la racine web)

Instructions de déploiement

Pour commencer avec le projet, exécutez simplement la commande suivante :

docker-compose up

Cela mettra en place l'environnement et démarrera l'application avec Docker.

Remarques importantes

• Assurez-vous que les répertoires templates_c et user/avatar ont les bons droits de propriété. Après le déploiement, exécutez :

  root@kitploit:~

  sudo chown www-data:www-data templates_c user/avatar
  

Articles et ressources

• LFI to RCE via PHAR
• Writeup on Pojiiix

Licence

Ce projet est sous licence MIT - voir le fichier LICENSE pour plus de détails.