NodeGoat

Essendo leggero, veloce e scalabile, Node.js sta diventando una piattaforma ampiamente adottata per lo sviluppo di applicazioni web. Questo progetto fornisce un ambiente per apprendere come i rischi di sicurezza OWASP Top 10 si applicano alle applicazioni web sviluppate con Node.js e come affrontarli efficacemente.

Per Iniziare

OWASP Top 10 per applicazioni web Node.js:

Conoscilo!

Questa applicazione include una pagina tutorial che spiega le vulnerabilità OWASP Top 10 e come risolverle.

Una volta che l'applicazione è in esecuzione, puoi accedere alla pagina tutorial all'indirizzo http://localhost:4000/tutorial (o alla porta che hai configurato).

Fallo!

Un'applicazione Node.js vulnerabile per Ninja da sfruttare, distruggere e correggere. Potresti voler configurare la tua copia dell'app per correggere e testare le vulnerabilità. Suggerimento: Cerca i commenti nel codice sorgente.

Account utente predefiniti

Il database viene pre-popolato con questi account utente creati come parte dei dati seed:

• Account Admin - u:admin p:Admin_123
• Account Utente (u:user1 p:User1_123), (u:user2 p:User2_123)
• Nuovi utenti possono essere aggiunti anche tramite la pagina di registrazione.

Come Configurare la Tua Copia di NodeGoat

OPZIONE 1 - Eseguire NodeGoat sulla tua macchina

1. Installa Node.js - NodeGoat richiede Node v8 o superiore

2. Clona il repository github:

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Vai nella directory:

   root@kitploit:~

   cd NodeGoat
   

4. Installa i pacchetti node:

   root@kitploit:~

   npm install
   

5. Configura MongoDB. Puoi installare MongoDB localmente o creare un'istanza remota:

   • Usando MongoDB locale:

     1. Installa MongoDB Community Server
     2. Avvia mongod

   • Usando un'istanza MongoDB remota:

     1. Distribuisci un cluster MongoDB Atlas free tier (M0 Sandbox)
     2. Abilita l'accesso di rete al cluster dal tuo indirizzo IP corrente
     3. Aggiungi un utente del database al cluster
     4. Imposta la variabile d'ambiente MONGODB_URI sulla stringa di connessione del tuo cluster, che può essere visualizzata nella finestra di connessione del cluster. Seleziona "Connect your application", imposta il driver su "Node.js" e la versione su "2.2.12 or later". Questo fornirà una stringa di connessione nella forma:
        root@kitploit:~

        mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
        

        I campi e devono essere compilati con i dettagli dell'utente del database aggiunto in precedenza. Il campo imposta il nome del database che nodegoat utilizzerà nel cluster (ad esempio "nodegoat"). Gli altri campi saranno già compilati con i dettagli corretti per il tuo cluster.

Personalizzazione della Configurazione Predefinita dell'Applicazione

Per impostazione predefinita, l'applicazione sarà ospitata sulla porta 4000 e si connetterà a un'istanza MongoDB su localhost:27017. Per modificare questo, imposta le variabili d'ambiente PORT e MONGODB_URI.

Altre impostazioni possono essere modificate aggiornando il file di configurazione.

OPZIONE 2 - Eseguire NodeGoat su Docker

Il repository include il Dockerfile e docker-compose.yml necessari per impostare l'app e l'istanza del database, quindi connetterli insieme.

1. Installa docker e docker compose

2. Clona il repository github:

   root@kitploit:~

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Vai nella directory:

   root@kitploit:~

   cd NodeGoat
   

4. Costruisci le immagini:

   root@kitploit:~

   docker-compose build
   

5. Esegui l'app, questo avvia l'applicazione NodeGoat all'indirizzo http://localhost:4000/:

   root@kitploit:~

   docker-compose up
   

OPZIONE 3 - Distribuire su Heroku

Questa opzione utilizza un server node Heroku gratuito ($0/mese).

Anche se non essenziale, si consiglia di fare il fork di questo repository e distribuire il repository forkato. Questo ti permetterà di correggere le vulnerabilità nella tua versione forkata, quindi distribuirla e testarla su Heroku.

1. Configura un'istanza MongoDB accessibile pubblicamente:

   1. Distribuisci un cluster MongoDB Atlas free tier (M0 Sandbox)
   2. Abilita l'accesso di rete al cluster da qualsiasi luogo (intervallo CIDR 0.0.0.0/0)
   3. Aggiungi un utente del database al cluster

2. Distribuisci NodeGoat su Heroku cliccando il pulsante qui sotto:

   

   Nella finestra di dialogo Create New App, imposta la variabile di configurazione MONGODB_URI sulla stringa di connessione del tuo cluster MongoDB Atlas. Questa può essere visualizzata nella finestra di connessione del cluster. Seleziona "Connect your application", imposta il driver su "Node.js" e la versione su "2.2.12 or later". Questo fornirà una stringa di connessione nella forma:

   root@kitploit:~

   mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
   

   I campi <username> e <password> devono essere compilati con i dettagli dell'utente del database aggiunto in precedenza. Il campo <dbname> imposta il nome del database che nodegoat utilizzerà nel cluster (ad esempio "nodegoat"). Gli altri campi saranno già compilati con i dettagli corretti per il tuo cluster.

Segnala bug, Feedback, Commenti

• Apri un nuovo issue o contatta il team unendoti alla chat su Slack o

Contribuire

Segui la guida per contribuire

Codice di Condotta (CoC)

Questo progetto è vincolato da un Codice di Condotta.

Contributori

Ecco gli straordinari contributori al progetto NodeGoat.

Supporti

• Grazie a JetBrains per aver fornito le licenze per il fantastico WebStorm IDE per costruire questo progetto.

Licenza

Codice concesso in licenza sotto Apache License v2.0.