概要

Not Slithering Anywhere は、Not Go-ing Anywhere 脆弱性アプリケーションの Python(3) 版です。Python アプリケーションで一般的に見られる数多くのセキュリティ問題を示すことを目的としており、静的・動的ツールのテスト環境の基盤としても機能します。

はじめに

1. python3 -m venv ~/.venv/class のように venv をセットアップします
2. source ~/.venv/class/bin/activate のように venv に入ります
3. 依存関係をインストールします: pip3 install -r requirements.txt
4. クラスを実行します: python3 app.py

このクラス自体は、flask、SQLAlchemy、jinja2 などの一般的なライブラリを使用して脆弱性を解説します。

想定される脆弱性

サーバー

1. サーバー設定ミス
   1. CORS
   2. キャッシュ
2. インジェクション関連
   1. XSS（厳密には OWASP によると別カテゴリ）
   2. SQLi
   3. サーバーサイドテンプレートインジェクション（SSTI）
3. 不正確なデータ検証（パス）
4. AuthN/AuthZ の失敗

一般的な Python

1. Unix および Python 環境
2. 鍵と機密データの保存