limeyard

意図的に脆弱なDockerラボ。ルーティング可能なDNS環境と、ターゲットごとの機械可読な解答キーを備え、スキャナーの適合率、再現率、スコープをローカルで採点します。

クイックスタート

必要なのはDocker（composeプラグイン付き）とgitだけです。それ以外は何も要りません。

これによりラボが ./limeyard にクローンされ、新しいAPIトークンを含む .env が書き込まれ、コントロールプレーンがビルド・起動され、何を実行するか尋ねられます。何かが始まる前に、その選択にかかるコストを、参照マシンでアイドル時に測定した値として、あなたのマシンの空き容量と比較して表示します。

非対話形式: curl ... | bash -s -- --light --yes（または --all、--none、--pick dvwa,juice-shop,estate）。チェックアウト先を別の場所にするには LIMEYARD_DIR=/path。

パネルは http://127.0.0.1:7000 にあり、同じことを手動で行うには:

インストーラを使わず手動で:

すべてのマニフェストには測定済みの resources ブロック（コンテナ、アイドルRAM、イメージディスク、アイドルCPU）が含まれます。ウィザード、パネルの選択ストリップ、各ターゲットのページはこれをもとに合計するため、見積もりはどこでも同じになります。

ブランチ

2つだけ、それだけです。

• main はインストーラがクローンするもので、何もしなければ得られるものです。プルリクエストによってのみ移動し、直接プッシュされることはありません。
• dev はデフォルトブランチであり、作業が着地する場所です。プルリクエストはこれに対して開いてください。

概念

種類: web api bench cve service estate edge control mobile。

レイアウト

コントロールパネル

docker compose up -d は2つのコンテナだけを起動します: limeyard_control（limedデーモン、Dockerソケットを保持）と limeyard_ui（SvelteKitパネル）。どちらもループバックのみにバインドします。パネルは http://127.0.0.1:7000、生のAPIは http://127.0.0.1:7099 です。どちらも .env を必要とし、その中の LIME_TOKEN は必須です。パネルはトークンをサーバー側で保持し、ブラウザがそれを見ることはありません。

パネルは自動更新されます: limedは状態遷移をSSEでストリーミングするため、CLIから起動されたターゲットはリフレッシュなしで表示されます。ヘッダーは同じストリームからホストのCPU、RAM、空きディスクを表示し、注目に値する場合にのみ色付けされます。すべてのテーブルは列ヘッダーをクリックするとソートされ、2回目のクリックで方向が反転します。

パネルまたはデーモンを変更した後は、ペアを再ビルドします:

イメージを再ビルドせずに実行中のデーモンに対してパネルを操作するには:

API

/api/health を除くすべての呼び出しには X-Lime-Token が必要です。

ネットワーク

3つの階層。1つだったことが元々の問題でした。

• lime-web ブリッジ。WebおよびAPIターゲット。127.0.0.1:70xx で公開。
• lime-lab ブリッジ、10.66.0.0/16、静的IP、ホストバインドなし。スキャナはコンテナとしてこのネットワークに参加し、ループバックのポートリストではなく、実際のサブネット、実際のホスト、実際のポートを見ます。
• lime-edge WAF階層。オリジンには到達可能だがDNSには存在しません。

DNSは .test ゾーン（RFC 6761が予約）上の権威BINDです。Dockerネットワークエイリアスは意図的に信頼できる情報源ではありません。ゾーン転送に決して現れず、トポロジが解答キーと食い違うことになるからです。

ポート

スコアリング

すべてのターゲットは truth.yml を同梱します。スコアラは検出結果を精度、再現率、F1に変換します。ターゲット別およびクラス別に:

数えられるのは1つではなく3つです。再現率: そこにあるものを見つけたか。精度: ないものを報告するのを避けたか。すべての解答キーが持つ negative エントリに対して測定されます。スコープ: 正しく試みなかったもの。四半期ごとに誰も蒸し返さないように記録されます。

mirage ターゲットは2つ目のためだけに存在します。その中の何も脆弱ではなく、その中のすべてが脆弱に見えるため、それに対する検出結果は構造的に誤検知です。

コントリビューション

CONTRIBUTING.md にすべてが書かれています: コントリビューションが通常何であるか、./lime audit が強制する不変条件、そしてなぜ解答キーへの修正がここでは新機能よりも価値があるのか。ルールの短縮版は以下です。参加するすべての人は行動規範に従うことが求められます。

ターゲットの追加

ラボをクリーンに保つルール:

• ターゲットポートのみを 127.0.0.1 にバインドする。
• 単一コンテナのターゲットは [lime-web] のみに参加する。プロジェクトごとのネットワークを追加しないこと: ネットワークが多すぎるとDockerのアドレスプールが枯渇します。
• データベースを持つターゲットは [default, lime-web] に参加し、データベースは [default] のみに置く。各ターゲットは独自のデータベースサービスとボリュームを持ちます。
• 閲覧されるためではなく発見されるために存在するターゲットは、静的IPで [lime-lab] に参加し、ホストポートを公開しない。
• upstream は必須です。 lime doctor はそれがないターゲットを失敗させ、マネージャは登録を拒否します。以下を参照。
• limeyardはサードパーティのソースを同梱しません。マニフェストに repo: と compose: を書けば、ソースは実行時に <target>/src に取得されます。
• コストを記録すること。起動し、落ち着かせ、./lime measure <slug> が貼り付けるべき resources ブロックを出力します。インストーラとパネルはこれらを合計して、起動前に警告するため、ここでの推測はそこでの嘘になります。

信頼と分離

ターゲットは他人の意図的に脆弱なソフトウェアであるため、出所は仮定されるのではなく記録され、ランタイムは信頼されるのではなく制約されます。SECURITY.md に全体像があります。短縮版:

• すべてのイメージはダイジェストで固定され、浮動タグではなく、ここでプルおよびテストされたダイジェストに固定されます。./lime pin がドリフトを報告します。
• 発行者はイメージごとに文書化されています: Docker Official Images、プロジェクト組織アカウント（OWASP、ISC、Traefik、Prometheus）、または作者自身のネームスペース。最も弱い2つのリンク、raesene/bwapp（アーカイブ済み、最終リビルド2022年、ライセンスなし）と delfer/alpine-ftp-server（個人1人）はそのように明記されています。
• すべてのサービスは no-new-privileges、cap_drop: ALL に加えてイメージごとの最小限の cap_add、pid上限、メモリ上限で実行されます。データベース階層は外部へのルートを持たない internal: true ネットワーク上にあります。
• limed はDockerソケットを保持しており、これはホスト上のrootであるため、すべての呼び出しで共有シークレットを要求します。侵害されたターゲットがそれに到達しても何も学べません。
• ./lime audit は privileged、ホストネットワーキング、ターゲット内のソケットマウント、ループバック外バインド、固定されていないイメージ、欠落したトークンで失敗します。

ここにあるものはカーネルレベルのコンテナエスケープに対して防御しません。それには使い捨てのVMを使ってください。

帰属

ここにあるほぼすべては他人によって書かれ、いくつかのターゲットはライセンスを一切宣言していません。したがって、作者をクレジットすることは慣習ではなく厳格なゲートです:

• target.yml は必須の upstream ブロックを持ちます: 作者、リポジトリ、ライセンス、そして最後にビルドを検証した日付。packager は、書いた人と異なる場合に何かをコンテナ化した人を記録します。
• すべてのダッシュボードカードは、ターゲット名の下に作者を表示し、ソースにリンクし、その横にライセンスを表示します。none declared のライセンスは警告としてレンダリングされ、これは再配布禁止のシグナルでもあります。
• 各ターゲットの詳細ビューは、脆弱性リストの上にクレジットブロックで始まり、私たちの解答キーはアップストリーム自身のドキュメントから明確に分離されています。
• UIの /credits と ./lime credits はすべてのターゲット、作者、ライセンスを一覧表示します。./lime credits --markdown は以下のセクションを再生成します。

クレジット

limeyardは他人の作品を実行します。以下のすべてのターゲットとシナリオは、Clickswaveと書かれていない限り、他人によって作られました。

api

bench

control

cve

edge

mobile

scenario

service

web