WebSocket GOAT

意図的に脆弱性を持たせた、Docker化されたWebSocketアプリケーションです。管理された環境でWebSocketセキュリティテストを学習・練習するために設計されています。

このラボは、認証、プライベートメッセージング、ユーザープロフィール、複数のWebSocketエンドポイントを備えた現実的なWebアプリケーションを実装しています。各機能は、認証、認可、アプリケーションレベルのセキュリティ制御が誤って実装された場合に、WebSocket固有の脆弱性がどのように発生するかを研究する機会を提供します。

起動

docker compose up --build

以下を開きます:

http://localhost:3000

テスト

2つのブラウザプロフィールまたはシークレットウィンドウで2つのアカウントを作成します。

例:

ユーザーA:

• alice を登録
• パスワード password123

ユーザーB:

• bob を登録
• パスワード password123

各アカウントには8文字のユーザーコードが付与されます。

AliceのセッションからBobのコードを入力します。BobのセッションからAliceのコードを入力します。 2つのクライアントは同じ会話に参加します。

ガイド

ラボに存在するバグのウォークスルーを執筆しました。定期的に更新されます。

また、OWASPによるこのトークの視聴をお勧めします。

さらに、BBREによるこのビデオもご覧ください。

参考資料

https://websocket.org/guides/authentication/

https://christian-schneider.net/blog/cross-site-websocket-hijacking/