Projet d'Application Web Totalement Non Sécurisée (TIWAP)

TIWAP est un laboratoire de test de sécurité web créé avec Flask pour les passionnés de sécurité débutants qui souhaitent découvrir diverses vulnérabilités web. Inspiré par DVWA, les contributeurs ont fait de leur mieux pour recréer diverses vulnérabilités web.

L'application est uniquement conçue à des fins éducatives et pour apprendre le hacking web dans un environnement légal.

En savoir plus ici

Avertissement

Nous recommandons vivement d'installer le laboratoire sur une machine virtuelle plutôt que sur un serveur web en production (interne ou externe).

Nous déclinons toute responsabilité quant à la manière dont quiconque utilise cette application (TIWAP). L'application a été créée uniquement à des fins éducatives et ne doit pas être utilisée de manière malveillante. Si vos serveurs web sont compromis suite à l'installation de cette application, cela n'est pas de notre responsabilité, mais de celle de la personne qui l'a téléchargée et installée.

Installation et Configuration

Pour simplifier l'installation et la configuration, nous avons tout configuré pour vous. Tout ce dont vous avez besoin est Docker sur votre système.

Une fois l'installation de Docker terminée, exécutez les commandes suivantes.

git clone https://github.com/tombstoneghost/TIWAP
cd TIWAP
docker-compose up

Remarque : Pour l'instant, cela fonctionne uniquement sous Linux et la compatibilité Windows est en cours de développement.

Une fois le laboratoire démarré, vous pouvez vous connecter en utilisant les identifiants par défaut.
Nom d'utilisateur : admin
Mot de passe : admin

Stack Technique

Front-End : HTML, CSS et JavaScript
Back-End : Python - Flask
Bases de données : SQLite3 et MongoDB

Vulnérabilités

Actuellement, nous avons 22 vulnérabilités dans le laboratoire. Toutes listées ci-dessous :

• Injection SQL
• Injection SQL aveugle
• Injection NoSQL
• Injection de commandes
• Défaut de logique métier
• Exposition de données sensibles
• Entités XML externes
• Mauvaise configuration de sécurité
• XSS réfléchie
• XSS stockée
• XSS basée sur le DOM
• Injection HTML
• Validation de certificat incorrecte
• Identifiants codés en dur
• Téléchargement de fichier non sécurisé
• Force brute
• Parcours de répertoire
• Falsification de requête intersite (CSRF)
• Falsification de requête côté serveur (SSRF)
• Injection de template côté serveur (SSTI)
• Jeton JWT
• Désérialisation non sécurisée

Chaque vulnérabilité comporte 3 niveaux de difficulté, à savoir Faible, Moyen et Difficile. Ces niveaux peuvent être définis à partir de la page des paramètres.

Bugs et Problèmes

Si vous trouvez des bugs ou des problèmes avec le projet, veuillez les signaler sur le lien ci-dessous.

https://github.com/tombstoneghost/TIWAP/issues

Contributeurs

1. Simardeep Singh - LinkedIn | Twitter
2. Yash Giri - LinkedIn
3. Sakshi Aggarwal - LinkedIn | Twitter
4. Xavier Llauca - GitHub

Vous souhaitez contribuer ?

1. Mettez une étoile à ce dépôt
2. Forkez ce dépôt
3. Clonez le dépôt forké
4. Accédez au répertoire du projet
5. Créez une nouvelle branche avec votre nom
6. Effectuez vos modifications
7. Ajoutez vos modifications et commitez-les
8. Poussez vos modifications locales vers le dépôt distant
9. Créez une Pull Request
10. Félicitations ! Vous avez réussi.

Licence

Ce projet est sous licence MIT - Cliquez ici pour plus de détails.

Bon hacking ! :)