TerraformGoat

Inglese | 中文

TerraformGoat è lo strumento di distribuzione multi-cloud "Vulnerabile per progettazione" del laboratorio di ricerca HXSecurity.

I fornitori cloud attualmente supportati includono Alibaba Cloud, Tencent Cloud, Huawei Cloud, Amazon Web Services, Google Cloud Platform e Microsoft Azure.

🎯 Scenari

💫 Installazione

TerraformGoat viene distribuito utilizzando immagini Docker, pertanto necessita del supporto dell'ambiente Docker Engine. L'installazione di Docker Engine è disponibile su https://docs.docker.com/engine/install/

A seconda del fornitore di servizi cloud utilizzato, scegli il comando di installazione corrispondente.

Alibaba Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

Tencent Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker run -itd --name terraformgoat_tencentcloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker exec -it terraformgoat_tencentcloud_0.0.7 /bin/bash

Huawei Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker run -itd --name terraformgoat_huaweicloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker exec -it terraformgoat_huaweicloud_0.0.7 /bin/bash

Amazon Web Services

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker run -itd --name terraformgoat_aws_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker exec -it terraformgoat_aws_0.0.7 /bin/bash

Google Cloud Platform

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker run -itd --name terraformgoat_gcp_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker exec -it terraformgoat_gcp_0.0.7 /bin/bash

Microsoft Azure

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker run -itd --name terraformgoat_azure_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker exec -it terraformgoat_azure_0.0.7 /bin/bash

📄 Demo

Dopo essere entrati nel container, spostati nella directory dello scenario corrispondente per avviare la distribuzione.

Ecco una dimostrazione della costruzione dello scenario Alibaba Cloud Bucket Object Traversal.

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

cd /TerraformGoat/aliyun/oss/bucket_object_traversal/
aliyun configure
terraform init
terraform apply

Il programma richiede Enter a value:, digita yes e premi invio, quindi usa curl per accedere al bucket; potrai vedere l'oggetto enumerato.

Per evitare che il servizio cloud continui a generare costi, ricordati di distruggere lo scenario dopo l'uso.

terraform destroy

🚀 Disinstallazione

Se sei in un container, esegui prima il comando exit per uscire dal container, quindi esegui il comando seguente sull'host.

docker stop $(docker ps -a -q -f "name=terraformgoat*")
docker rm $(docker ps -a -q -f "name=terraformgoat*")
docker rmi $(docker images -a -q -f "reference=registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat*")

⚠️ Avviso

1. Il README di ogni ambiente vulnerabile viene eseguito all'interno dell'ambiente container TerraformGoat, pertanto è necessario prima distribuire l'ambiente container TerraformGoat.
2. A causa del rischio di movimento laterale nella rete interna del cloud in alcuni scenari, si raccomanda vivamente agli utenti di utilizzare i propri account di test per configurare gli scenari, evitando di utilizzare l'account cloud dell'ambiente di produzione, e di installare TerraformGoat utilizzando Dockerfile per isolare il token del fornitore cloud locale dell'utente dal token dell'account di test.
3. TerraformGoat è utilizzato solo per scopi educativi. Non è consentito utilizzarlo per attività illegali o criminali. Qualsiasi conseguenza derivante da TerraformGoat è responsabilità della persona che lo utilizza, non dell'organizzazione HXSecurity.

🎊 Contributi

I contributi sono benvenuti e molto apprezzati. Ulteriori informazioni — CONTRIBUTING.md per i dettagli sul flusso di lavoro per i contributi.

🪪 Licenza

TerraformGoat è distribuito sotto licenza Apache 2.0. Vedi il file LICENSE per i dettagli.

🔮 Statistiche