limeyard

라우팅 가능한 DNS 환경과 대상별 기계 판독 가능 정답 키를 갖춘 의도적으로 취약한 Docker 실습 환경으로, 스캐너의 정밀도, 재현율, 범위를 로컬에서 채점합니다.

빠른 시작

Docker(compose 플러그인 포함)와 git이 필요합니다. 그 외에는 없습니다.

이 명령은 랩을 ./limeyard에 클론하고, 새 API 토큰으로 .env를 작성하고, 컨트롤 플레인을 빌드 및 시작한 뒤 무엇을 실행할지 묻습니다. 무엇이든 시작되기 전에 선택 항목의 비용을 보여줍니다. 참조 박스에서 유휴 상태로 측정한 값과 여러분의 머신에 남은 여유를 비교합니다.

비대화형: curl ... | bash -s -- --light --yes (또는 --all, --none, --pick dvwa,juice-shop,estate). 체크아웃 위치를 다른 곳으로 지정하려면 LIMEYARD_DIR=/path.

그러면 패널은 http://127.0.0.1:7000에 있으며, 같은 작업을 수동으로도 할 수 있습니다.

설치 프로그램 없이 수동으로:

모든 매니페스트는 측정된 resources 블록(컨테이너, 유휴 RAM, 이미지 디스크, 유휴 CPU)을 담고 있습니다. 마법사, 패널의 선택 스트립, 각 타깃 페이지가 여기서 합산하므로 추정치는 어디서나 동일합니다.

브랜치

둘, 오직 둘뿐입니다.

• **main**은 설치 프로그램이 클론하는 것이며 아무것도 하지 않으면 얻게 되는 것입니다. 풀 리퀘스트로만 이동하며, 직접 푸시로는 절대 이동하지 않습니다.
• **dev**는 기본 브랜치이며 작업이 도착하는 곳입니다. 풀 리퀘스트는 이 브랜치를 대상으로 여십시오.

개념

종류: web api bench cve service estate edge control mobile.

레이아웃

제어 패널

docker compose up -d는 두 컨테이너만 시작하고 그 외에는 아무것도 시작하지 않습니다: limeyard_control(Docker 소켓을 보유한 limed 데몬)과 limeyard_ui(SvelteKit 패널). 둘 다 루프백에만 바인딩됩니다. 패널은 http://127.0.0.1:7000에, 원시 API는 http://127.0.0.1:7099에 있습니다. 둘 다 .env가 필요하며, 그 안의 LIME_TOKEN은 필수입니다. 패널은 토큰을 서버 측에 보유하며 브라우저는 절대 보지 못합니다.

패널은 스스로 업데이트됩니다. limed는 상태 전환을 SSE로 스트리밍하므로, CLI에서 시작한 타깃이 새로고침 없이 나타납니다. 헤더는 같은 스트림에서 호스트의 CPU, RAM, 여유 디스크를 표시하며, 주목할 만할 때만 색이 입혀집니다. 모든 테이블은 열 헤더를 클릭하면 정렬되며, 두 번째 클릭은 방향을 뒤집습니다.

패널이나 데몬을 변경한 후에는 쌍을 다시 빌드하십시오.

이미지를 다시 빌드하지 않고 실행 중인 데몬에 대해 패널을 작업하려면:

API

/api/health를 제외한 모든 호출은 X-Lime-Token이 필요합니다.

네트워크

세 계층입니다. 하나였던 것이 원래 문제였기 때문입니다.

• lime-web 브리지. 웹과 API 타깃, 127.0.0.1:70xx에 게시됩니다.
• lime-lab 브리지, 10.66.0.0/16, 정적 IP, 호스트 바인딩 없음. 스캐너는 컨테이너로 이 네트워크에 참여하여 루프백 포트 목록 대신 실제 서브넷, 실제 호스트, 실제 포트를 봅니다.
• lime-edge WAF 계층으로, 오리진에 도달할 수 있지만 DNS에는 없습니다.

DNS는 .test 존(RFC 6761이 예약함)에 대한 권한 있는 BIND입니다. Docker 네트워크 별칭은 의도적으로 진실의 원천이 아닙니다. 이들은 존 전송에 절대 나타나지 않으며, 토폴로지가 정답 키와 불일치하게 만들 것입니다.

포트

채점

모든 타깃은 truth.yml을 제공합니다. 스코어러는 발견 사항을 타깃별 및 클래스별 정밀도, 재현율, F1로 변환합니다.

하나가 아니라 세 가지가 집계됩니다. 재현율: 거기 있는 것을 찾았는가. 정밀도: 거기 없는 것을 보고하지 않았는가, 모든 정답 키가 담고 있는 negative 항목을 기준으로 측정. 범위: 우리가 올바르게 시도하지 않은 것, 아무도 분기마다 이를 다시 논하지 않도록 기록.

mirage 타깃은 두 번째를 위해서만 존재합니다. 그 안의 어떤 것도 취약하지 않으며 그 안의 모든 것이 취약해 보이므로, 그것에 대한 어떤 발견이든 구조적으로 오탐입니다.

기여

CONTRIBUTING.md에 모든 것이 담겨 있습니다: 기여가 보통 무엇인지, ./lime audit이 강제하는 불변식, 그리고 왜 정답 키에 대한 수정이 여기서 새 기능보다 더 가치 있는지. 규칙의 요약은 아래에 있습니다. 참여하는 모든 사람은 행동 강령을 준수해야 합니다.

타깃 추가하기

랩을 깨끗하게 유지하는 규칙:

• 타깃 포트만 127.0.0.1에 바인딩하십시오.
• 단일 컨테이너 타깃은 [lime-web]에만 참여합니다. 프로젝트별 네트워크를 추가하지 마십시오. 네트워크가 너무 많으면 Docker가 주소 풀을 소진합니다.
• 데이터베이스가 있는 타깃은 [default, lime-web]에 참여하고 데이터베이스를 [default]에만 둡니다. 각 타깃은 자체 데이터베이스 서비스와 볼륨을 갖습니다.
• 브라우징이 아니라 발견되기 위해 존재하는 타깃은 정적 IP로 [lime-lab]에 참여하고 호스트 포트를 게시하지 않습니다.
• upstream은 필수입니다. lime doctor는 이것이 없는 타깃을 실패 처리하고 매니저는 등록을 거부합니다. 아래를 참조하십시오.
• limeyard는 제3자 소스를 벤더링하지 않습니다. 매니페스트에 repo:와 compose:를 넣으면 소스는 런타임에 <target>/src로 가져옵니다.
• 비용을 기록하십시오. 시작하고, 안정될 때까지 기다린 뒤, ./lime measure <slug>가 붙여넣을 resources 블록을 출력합니다. 설치 프로그램과 패널이 이들을 합산하여 누군가 시작하기 전에 경고하므로, 여기서의 추측은 거기서의 거짓말입니다.

신뢰와 격리

타깃은 다른 사람들의 의도적으로 취약한 소프트웨어이므로, 출처는 가정되지 않고 기록되며, 런타임은 신뢰되지 않고 제약됩니다. SECURITY.md에 전체 그림이 있습니다. 요약:

• 모든 이미지는 떠다니는 태그가 아니라 다이제스트로 고정되며, 여기서 가져와 테스트한 다이제스트로 고정됩니다. ./lime pin이 드리프트를 보고합니다.
• 게시자는 이미지별로 문서화됩니다: Docker Official Images, 프로젝트 조직 계정(OWASP, ISC, Traefik, Prometheus), 또는 저자 자신의 네임스페이스. 가장 약한 두 고리인 raesene/bwapp(아카이브됨, 2022년 마지막 재빌드, 라이선스 없음)과 delfer/alpine-ftp-server(개인 한 명)는 그렇게 명시됩니다.
• 모든 서비스는 no-new-privileges, cap_drop: ALL에 이미지별 최소 cap_add, pid 상한, 메모리 상한으로 실행됩니다. 데이터베이스 계층은 외부로 나가는 경로가 없는 internal: true 네트워크에 있습니다.
• limed는 호스트의 root인 Docker 소켓을 보유하므로 모든 호출에 공유 비밀을 요구합니다. 뚫린 타깃이 그것에 도달해도 아무것도 알 수 없습니다.
• ./lime audit은 privileged, 호스트 네트워킹, 타깃 내 소켓 마운트, 루프백 외 바인딩, 고정되지 않은 이미지, 누락된 토큰에서 실패합니다.

여기 있는 어떤 것도 커널 수준 컨테이너 탈출을 방어하지 않습니다. 그것에는 일회용 VM을 사용하십시오.

저작자 표시

여기 있는 거의 모든 것은 다른 누군가가 작성했으며, 여러 타깃은 라이선스를 전혀 선언하지 않습니다. 따라서 저자를 명시하는 것은 관례가 아니라 강제 게이트입니다.

• target.yml은 필수 upstream 블록을 담습니다: 저자, repo, 라이선스, 그리고 마지막으로 빌드를 검증한 날짜. packager는 작성자와 다를 경우 컨테이너화한 사람을 기록합니다.
• 모든 대시보드 카드는 타깃 이름 아래에 저자를 표시하며, 소스로 연결되고 라이선스가 옆에 있습니다. none declared 라이선스는 경고로 렌더링되며, 이는 재배포 금지 신호이기도 합니다.
• 각 타깃의 상세 보기는 취약점 목록 위에 크레딧 블록으로 시작하며, 우리 정답 키는 업스트림 자체 문서와 명확히 분리됩니다.
• UI의 /credits와 ./lime credits는 모든 타깃, 저자, 라이선스를 나열합니다. ./lime credits --markdown은 아래 섹션을 재생성합니다.

크레딧

limeyard는 다른 사람들의 작업을 실행합니다. 아래의 모든 타깃과 시나리오는 Clickswave라고 표시되지 않는 한 다른 누군가가 만들었습니다.

api

bench

control

cve

edge

mobile

scenario

service

web