LazyWeb - Applicazione Web Vulnerabile

LazyWeb è un'applicazione web dimostrativa progettata per mostrare vulnerabilità comuni delle applicazioni lato server. Ogni vulnerabilità è categorizzata con il rispettivo livello di difficoltà per offrire un'esperienza di apprendimento completa a sviluppatori e appassionati di sicurezza.

Caratteristiche Principali

• Mostra vulnerabilità reali nelle applicazioni web.
• Varia da falle di sicurezza basilari ad avanzate, permettendo agli utenti di testare le proprie abilità a vari livelli.
• Mirata ad aiutare i professionisti della sicurezza a comprendere la natura delle vulnerabilità e come mitigarle.

Vulnerabilità Incluse

L'applicazione include le seguenti vulnerabilità:

• Iniezione di Comandi del Sistema Operativo
• Iniezione SQL
• Iniezione di Entità Esterne XML (XXE)
• Riferimento Diretto Non Sicuro a Oggetti (IDOR)
• Inclusione Locale di File (LFI)
• Caricamento File Non Sicuro
• Assegnazione Arbitraria di Sessione
• Autorizzazione Errata
• Autenticazione Errata
• Esposizione della Cartella .git (se clonato direttamente nella root web)

Istruzioni per il Deployment

Per iniziare con il progetto, esegui semplicemente il seguente comando:

docker-compose up

Questo configurerà l'ambiente e avvierà l'applicazione utilizzando Docker.

Note Importanti

• Assicurati che le directory templates_c e user/avatar abbiano la proprietà corretta. Dopo il deployment, esegui:

  root@kitploit:~

  sudo chown www-data:www-data templates_c user/avatar
  

Write-up e Risorse

• Da LFI a RCE tramite PHAR
• Writeup su Pojiiix

Licenza

Questo progetto è concesso in licenza sotto la Licenza MIT - vedi il file LICENSE per i dettagli.