LazyWeb - 脆弱なWebアプリケーション

LazyWebは、一般的なサーバーサイドアプリケーションの脆弱性を示すためのデモンストレーション用Webアプリケーションです。各脆弱性はそれぞれの難易度評価で分類されており、開発者やセキュリティ愛好家に包括的な学習体験を提供します。

主な機能

• Webアプリケーションにおける現実世界の脆弱性を示します。
• 基本的なものから高度なセキュリティ上の欠陥までを網羅し、ユーザーが様々なレベルでスキルをテストできます。
• セキュリティ専門家が脆弱性の性質とその緩和方法を理解するのに役立つことを目的としています。

含まれる脆弱性

このアプリケーションには以下の脆弱性が含まれています：

• OS Command Injection
• SQL Injection
• XML External Entity Injection (XXE)
• Insecure Direct Object Reference (IDOR)
• Local File Inclusion (LFI)
• Insecure File Upload
• Arbitrary Session Assignment
• Broken Authorization
• Broken Authentication
• .git Folder Disclosure (if cloned directly to web root)

デプロイ手順

プロジェクトを始めるには、次のコマンドを実行するだけです：

docker-compose up

これにより、Dockerを使用して環境がセットアップされ、アプリケーションが起動します。

重要な注意事項

templates_cとuser/avatarディレクトリの所有者が正しいことを確認してください。デプロイ後、次のコマンドを実行します：

sudo chown www-data:www-data templates_c user/avatar

解説記事とリソース

• LFI to RCE via PHAR
• Pojiiixの解説

ライセンス

このプロジェクトはMITライセンスの下でライセンスされています - 詳細はLICENSEファイルを参照してください。