DynAST-Bench

जानबूझकर असुरक्षित ऐप्स का एक DAST बेंचमार्क, जिसमें स्कैनर को स्कोर करने के लिए ग्राउंड-ट्रुथ उत्तर कुंजियाँ शामिल हैं।

⚠️ इस रिपॉजिटरी में जानबूझकर असुरक्षित एप्लिकेशन हैं। ये केवल सुरक्षा टूलिंग—DAST स्कैनर, SAST इंजन और LLM सुरक्षा एजेंट—को बेंचमार्क करने के लिए मौजूद हैं। प्रत्येक ऐप 127.0.0.1 से बाइंड होता है, एक ज़ोरदार बैनर दिखाता है, और इसमें कोई वास्तविक डेटा नहीं होता है। इसमें से कुछ भी कभी भी किसी सार्वजनिक नेटवर्क पर तैनात न करें।

19 जानबूझकर असुरक्षित ऐप्स का एक सूट, प्रति स्टैक एक, प्रत्येक में एक प्रलेखित, मशीन-जाँचने योग्य ग्राउंड ट्रुथ है। उद्देश्य यह मापना है कि कोई स्कैनर या एजेंट (a) रोपे गए बग्स को कितनी अच्छी तरह ढूँढता है, (b) उनके ठीक बगल में मौजूद सुरक्षित नियर-मिस कोड को कितना अनदेखा करता है, और (c) पैच किए गए जुड़वाँ पर निष्कर्षों का भ्रम (hallucinate) नहीं करता है।

एक नज़र में ऐप्स

19 ऐप्स · 559 रोपे गए भेद्यताएँ · 155 नियर-मिस · 556 रन करने योग्य PoC · 634 सूचीबद्ध एंडपॉइंट। प्रत्येक ऐप 127.0.0.1:13311 पर बूट होता है, एक vuln/+safe/ जुड़वाँ जोड़ी और एक सिंगल-इमेज --solo बिल्ड के साथ आता है। dynast-bench list इस तालिका को लाइव प्रिंट करता है; dynast-bench surface <app> इसका एंडपॉइंट कैटलॉग प्रिंट करता है।

ऐप	स्टैक	डेटास्टोर	भेद्यताएँ	नियर-मिस	दस्तावेज़
aspnet	C# / ASP.NET Core Razor Pages	SQL Server	28	12	plan
fastapi	Python / FastAPI + Jinja2	Postgres	26	5	plan
gin	Go / Gin	Postgres	17	12	readme
golang	Go / chi	Postgres	26	4	plan
graphql	Node / GraphQL 16 API-only	Postgres	31	6	plan
jsp	Java / JSP + Servlets (Tomcat)	Postgres	28	6	plan
laravel	PHP 8.3 / Laravel 11 + Blade	MySQL	25	7	plan
llmagent	Node / Fastify + AI SDK + MCP	Postgres	29	8	plan
llmchat	Python / FastAPI + LangChain RAG	Postgres+pgvector	30	9	plan
nestjs	Node / NestJS + Handlebars	Postgres	23	6	plan
network	सिम्युलेटेड मल्टी-होस्ट नेटवर्क रेंज	मिश्रित फ्लीट	32	5	plan
nextjs	Node / Next.js 15 (संदर्भ कार्यान्वयन)	Postgres	40	19	plan
php	PHP / प्रोसीजरल LAMP	MySQL	21	5	plan
rails	Ruby / Rails 7.2	Postgres	26	6	plan
springboot	Java / Spring Boot + Thymeleaf	Postgres	30	4	plan
swagger	OpenAPI / Swagger UI + स्पेक लोडिंग	Postgres	19	5	plan
websocket	Node 22 / ws + Socket.IO रीयलटाइम	Postgres	28	6	plan
weirdproxy	एक ही ओरिजिन पर nginx + Apache + Traefik	कोई नहीं	16	4	plan
wordpress	PHP / WordPress + कस्टम प्लगइन	MySQL	28	6	plan

प्रति स्टैक अतिरिक्त साइडकार (Mailpit, MinIO, Redis, Jenkins, Prometheus, Ollama, …) नीचे ऐप्स में सूचीबद्ध हैं।

प्रति-स्टैक डिज़ाइन दस्तावेज़ benchmark-plans/ में हैं - प्रत्येक ऐप के पूर्ण भेद्यता कैटलॉग के लिए वहीं से शुरू करें। यह README परिचालन गाइड है: रिपॉजिटरी कैसे व्यवस्थित है और किसी ऐप को कैसे चलाएँ और स्कोर करें।

कवर की गई भेद्यता श्रेणियाँ

हर रोपे गए बग में एक CWE और एक OWASP श्रेणी होती है। वर्ग के अनुसार समेकित करने पर - प्रत्येक बग को उसके प्राथमिक CWE के अंतर्गत एक बार गिना जाता है - रोपे गए बग लगभग इस प्रकार हैं (समेकन अंतिम बार 480 बग पर पुनः जनरेट किया गया था; ऊपर दिए गए प्रति-ऐप गणनाएँ वर्तमान हैं):