아주 취약한 서버리스 애플리케이션

DVSA(Damn Vulnerable Serverless Application)는 보안 전문가들이 합법적인 환경에서 자신의 기술과 도구를 테스트하고, 개발자들이 서버리스 애플리케이션 보안 프로세스를 더 잘 이해하며, 학생과 교사 모두 통제된 교실 환경에서 서버리스 애플리케이션 보안을 학습할 수 있도록 돕기 위해 의도적으로 취약하게 만든 애플리케이션입니다.

DVSA의 목표는 간단하고 직관적인 인터페이스를 통해 가장 일반적인 서버리스 취약점 몇 가지를 연습하는 것입니다.

이 소프트웨어에는 문서화된 취약점과 문서화되지 않은 취약점이 모두 있습니다. 이는 의도적인 것입니다. 가능한 한 많은 문제를 발견하려고 시도하는 것을 권장합니다.

면책 조항

프로덕션 계정에 DVSA를 설치하지 마십시오

이 애플리케이션(DVSA)을 누가 어떻게 사용하든 당사는 책임을 지지 않습니다. 당사는 애플리케이션의 목적을 분명히 밝혔으며, 악의적으로 사용되어서는 안 됩니다. 사용자에게 경고하고 DVSA를 프로덕션 계정에 설치하지 못하도록 조치를 취했습니다.

애플리케이션 리포지토리에서 배포

AWS Serverless Application Repository에서 DVSA를 배포하세요.
배포가 완료된 후 'View CloudFormation Stack'을 클릭하세요.
'Outputs'에서 애플리케이션의 URL(DVSA Website URL)을 찾을 수 있습니다.

로컬 개발 및 배포

클라이언트

클라이언트 재빌드를 위한 사전 요구 사항

Node 8.16.2 (개발 중 Node 버전 전환)
python2 (npm i node-gyp에 필요합니다. npm config set python /path/to/your/python2를 사용할 수 있습니다.)

클라이언트 빌드

$ ./dvsa.sh client-build

이전에 배포된 백엔드로 클라이언트 파일 업데이트

$ ./dvsa.sh client-connect --stack <STACK_NAME>

배포된 클라이언트를 로컬 변경 사항으로 업데이트

$ ./dvsa.sh client-update --stack/--bucket
$ ./dvsa.sh client-update -h/--help 추가 옵션

클라이언트를 로컬에서 실행

$ ./dvsa.sh client-start

백엔드

백엔드 빌드를 위한 사전 요구 사항

AWS SAM CLI

단계별 가이드:

backend/functions 아래에서 백엔드 코드를 원하는 대로 수정하세요.
CloudFormation template.yml을 원하는 대로 수정하세요.
배포 후 변경이 필요하면 backend/deployment/에 파일을 추가하고, 배포 종료 시 실행되는 backend/deployment/dvsa_init.py 함수를 사용하여 필요한 작업을 수행할 수 있습니다.
$ ./dvsa.sh package-template (선택 사항: -h/--help로 추가 옵션 확인)
출력된 템플릿 파일을 CloudFormation 콘솔/CLI로 배포하세요.

백엔드를 로컬에서 실행

SAM Local을 사용하여 Lambda 함수와 API를 시작할 수 있습니다.
또는 LocalStack을 사용할 수 있습니다.

참고: 로컬 클라이언트를 로컬 백엔드로 연결하려면 $ ./dvsa.sh client-connect를 실행하고 ServiceEndpoint의 엔드포인트를 http://localhost:3000으로 교체하세요. (여전히 AWS의 Cognito 풀을 사용합니다.)

이메일 구독

DVSA는 이메일로 영수증을 보냅니다. 애플리케이션에 내장된 Inbox 페이지를 사용하여 이메일을 받고 영수증을 확인할 수 있습니다. 각 사용자에게는 1secmail.com의 이메일이 자동으로 할당되며 자동으로 인증됩니다. 실제 이메일이 해당 계정으로 전송되고 애플리케이션의 Inbox 페이지에 표시됩니다.

사용자가 실제 등록된 이메일 계정(예: Gmail)으로 이메일을 받게 하려면:

다음 명령을 실행하여 원하는 이메일 주소로 이메일 인증 링크를 보내세요. (수신한 링크를 클릭하면 또한 실제 이메일 주소로도 이메일이 전송됩니다.)

aws ses verify-email-identity --email-address <your_email>

발신 한도 증가를 요청하세요. 이렇게 하면 전체 클라우드 계정에서 모든 주소로 이메일을 보낼 수 있습니다.

추가 정보

프레젠테이션

다운로드

문서

AWS

DVSA 해킹에 대한 정보는 LESSONS를 참조하세요.

DVSA를 배포, 사용 및 해킹하는 방법은 VIDEOS를 참조하세요.

링크

OWASP Top 10 - 서버리스 해석

서버리스 공격 심층 분석 - 시리즈

OWASP Serverless Top 10 프로젝트

Twitter 계정 (해킹 가능)

Slack 채널 #project-sls-top-10

DVSA 블로그 게시물

뉴스에서

감사의 말

DVSA는 Tal Melamed이 만들었습니다.

라이선스

DVSA(Damn Vulnerable Serverless Application)는 자유 소프트웨어입니다: Free Software Foundation이 발표한 GNU General Public License 버전 3 또는 (선택에 따라) 이후 버전의 조건에 따라 이를 재배포하거나 수정할 수 있습니다.

DVSA(Damn Vulnerable Serverless Application)는 유용할 것이라는 희망으로 배포되지만, 어떠한 보증도 제공하지 않습니다. 상품성 또는 특정 목적 적합성에 대한 묵시적 보증조차도 없습니다. 자세한 내용은 GNU General Public License를 참조하세요.

DVSA(Damn Vulnerable Serverless Application)와 함께 GNU General Public License 사본을 받았을 것입니다. 그렇지 않다면 http://www.gnu.org/licenses/ 를 참조하세요.

DVSA

인기