commando-x/vuln-bankPiattaforma bancaria volutamente vulnerabile per esercitarsi nel testing di sicurezza di applicazioni web, API e AI/LLM, nella revisione sicura del codice e nell'integrazione DevSecOps attraverso laboratori pratici realistici.
Un'applicazione web deliberatamente vulnerabile per esercitarsi nel testing della sicurezza applicativa di Web, API e LLM, nella revisione sicura del codice e nell'implementazione della sicurezza nelle pipeline CI/CD.
⚠️ AVVISO: Questa applicazione è intenzionalmente vulnerabile e dovrebbe essere utilizzata solo per scopi educativi in ambienti isolati.
Questo progetto è una semplice applicazione bancaria con molteplici vulnerabilità di sicurezza integrate. È progettato per aiutare ingegneri della sicurezza, sviluppatori, stagisti, analisti QA e professionisti DevSecOps a conoscere:
USD, GBP, NGN, JPY, EUR, QAR, BTC, ETH)
Autenticazione e Autorizzazione
Sicurezza dei Dati
Vulnerabilità delle Transazioni
Operazioni sui File
Gestione della Sessione
Difetti Lato Client e Server
Vulnerabilità delle Carte Virtuali
git clone https://github.com/Commando-X/vuln-bank.git
cd vuln-bank
docker-compose up -d --build
L'applicazione sarà disponibile all'indirizzo http://localhost:5000
La configurazione Docker include alcune salvaguardie operative che consentono all'app di riprendersi senza intervento manuale via SSH:
web e db usano restart: unless-stopped, quindi Docker li riavvia automaticamente se il processo termina.db espone un health check e web attende che Postgres sia pronto prima di avviarsi.web esegue il server di sviluppo Flask con debug=True (intenzionale — preserva gli scenari di addestramento che hanno come target il debugger Werkzeug).web espone GET /healthz così che il container possa segnalare se l'app e il database sono effettivamente utilizzabili.Questo mantiene intatto il comportamento dell'applicazione intenzionalmente vulnerabile rendendo al contempo il ciclo di vita del container più resiliente.
Puoi validare il cablaggio del runtime locale senza avviare container reali:
python3 -m unittest discover -s tests -v
Questo controlla il comportamento dell'endpoint /healthz e verifica che start.sh attenda il database e poi avvii l'app Flask.
Se le dipendenze dell'app Flask non sono installate nel tuo ambiente Python corrente, il test della rotta /healthz viene saltato e il test di fumo dello script di avvio viene comunque eseguito.
git clone https://github.com/Commando-X/vuln-bank.git
cd vuln-bank
docker build -t vuln-bank .
docker run -p 5000:5000 vuln-bank
git clone https://github.com/Commando-X/vuln-bank.git
cd vuln-bank
# On Windows
python -m venv venv
venv\Scripts\activate
# On Linux/Mac
python3 -m venv venv
source venv/bin/activate
pip install -r requirements.txt
# On Windows
mkdir static\uploads
# On Linux/Mac
mkdir -p static/uploads
Modifica il file .env:
Esegui l'applicazione:
# On Windows
python app.py
# On Linux/Mac
python3 app.py
Il file .env è incluso intenzionalmente in questo repository per facilitare una configurazione semplice per scopi educativi. In un'applicazione reale, non dovresti mai committare file .env nel controllo versione.
Variabili d'ambiente attuali:
DB_NAME=vulnerable_bank
DB_USER=postgres
DB_PASSWORD=postgres
DB_HOST=db # Change to 'localhost' for local installation
DB_PORT=5432
L'applicazione utilizza PostgreSQL. Il database verrà inizializzato automaticamente alla prima esecuzione dell'applicazione, creando:
http://localhost:5000http://localhost:5000/api/docshttp://localhost:5000/graphqlSe ricevi "python not found":
py invece di pythonProblemi di permessi con la cartella uploads:
Permesso negato durante la creazione delle directory:
sudo mkdir -p static/uploads
sudo chown -R $USER:$USER static/uploads
Porta 5000 già in uso:
# Kill process using port 5000
sudo lsof -i:5000
sudo kill <PID>
Connessione rifiutata:
.envAutenticazione fallita:
Assicurati che DB_PASSWORD in .env corrisponda alla password del tuo utente Postgres.
Oppure reimposta l'utente postgres con:
ALTER ROLE postgres WITH PASSWORD 'your_password';
Errori di installazione:
Se riscontri errori PostgreSQL, installa tramite Chocolatey e imposta la password su postgres:
choco install postgresql --version=17.4.0 -y
# Use the generated password, or immediately reset it:
& 'C:\Program Files\PostgreSQL\17\bin\psql.exe' -U postgres -c "ALTER ROLE postgres WITH PASSWORD 'postgres';"
Il database non esiste:
Crealo manualmente con:
CREATE DATABASE vulnerable_bank;
/upload_profile_picture_url con un URL interno o controllato
http://127.0.0.1:5000/internal/secrethttp://127.0.0.1:5000/internal/config.jsonhttp://127.0.0.1:5000/latest/meta-data/ (e sottopercorsi come .../iam/security-credentials/)https://webhook.site/<your-id> e osserva la richiesta in arrivocurl -s -X POST http://localhost:5000/upload_profile_picture_url \
-H "Authorization: Bearer <JWT>" \
-H "Content-Type: application/json" \
-d '{"image_url":"http://127.0.0.1:5000/internal/secret"}'
# -> Copy the returned file_path and GET http://localhost:5000/<file_path>
/graphqlaccountNumberexchange_rate in /api/virtual-cards/<card_id>/fund per accreditare eccessivamente una carta durante la conversione USDL'API pubblica per commercianti consente ad app demo intenzionalmente vulnerabili, come i lab ecommerce, di accettare pagamenti dalle carte virtuali Vulnbank.
Registrati o accedi come utente Vulnbank normale.
Crea una carta virtuale e ricarcala dal saldo principale dell'utente.
Registra un'integrazione commerciante da http://localhost:5000/merchant/register o tramite API:
curl -s -X POST http://localhost:5000/api/v1/merchants/register \
-H "Content-Type: application/json" \
-d '{"name":"Demo Ecommerce","email":"[email protected]","password":"password123"}'
Addebita la carta Vulnbank dell'utente dall'app ecommerce utilizzando la chiave API del commerciante:
curl -s -X POST http://localhost:5000/api/v1/payments/charge \
-H "X-Merchant-Api-Key: <MERCHANT_API_KEY>" \
-H "Content-Type: application/json" \
-d '{
"amount": 49.99,
"currency": "USD",
"card_number": "4111111111111111",
"cvv": "123",
"expiry_date": "12/28",
"merchant_order_id": "ORDER-1001",
"description": "Demo ecommerce checkout"
}'
Visualizza la dashboard del commerciante su http://localhost:5000/merchant/dashboard, oppure recupera i dettagli del pagamento con la chiave API o con il JWT debole del commerciante:
curl -s http://localhost:5000/api/v1/payments/<payment_id> \
-H "Authorization: Bearer <MERCHANT_JWT>"
/api/v1/payments/merchant_id/<merchant_id>/api/v1/payments con /api/v1/payments/merchant_id/<merchant_id>Accesso alla Chat AI: Cerca la bolla di chat blu nell'angolo in basso a destra della dashboard
Nota: Il widget della chat ha due modalità:
Tecnologia AI: Utilizza l'API DeepSeek per vulnerabilità LLM reali, con fallback mock se non è configurata alcuna chiave API.
Attacchi di Prompt Injection
Divulgazione di Informazioni tramite AI
Bypass dell'Autorizzazione tramite AI
Sfruttamento del Sistema AI
Context Injection e Test delle Modalità
Tecniche Reali di Prompt Injection
I contributi sono benvenuti! Sentiti libero di:
Un walkthrough dettagliato su questo lab e i miei risultati qui:
👇 Leggi il Blog di DghostNinja
(https://dghostninja.github.io/posts/Vulnerable-Bank-API/)
👇 Walkthrough Dettagliato di CyberPreacher
(https://medium.com/@cyberpreacher_/hacking-vulnerable-bank-api-extensive-d2a0d3bb209e)
Solo hacking etico. Scope rispettato. Caffè consumato. ☕
Questa applicazione contiene vulnerabilità di sicurezza intenzionali per scopi educativi. NON:
Questo progetto è concesso in licenza sotto la MIT License - consulta il file LICENSE per i dettagli.
Fatto con ❤️ per l'Educazione alla Sicurezza
Vulnerabilità del Pagamento Bollette
Vulnerabilità dell'API di Pagamento per Commercianti
Vulnerabilità del Supporto Clienti AI
Vulnerabilità GraphQL
/graphqlOppure esegui:
createdb -U postgres -h localhost vulnerable_bank