완전히 안전하지 않은 웹 애플리케이션 프로젝트 (TIWAP)

TIWAP은 Flask로 제작된 웹 보안 테스트 랩으로, 보안에 관심 있는 초보자들이 다양한 웹 취약점을 학습할 수 있도록 만들어졌습니다. DVWA에서 영감을 받아 기여자들이 다양한 웹 취약점을 재현하기 위해 최선을 다했습니다.

이 애플리케이션은 오직 교육 목적으로만 제작되었으며, 합법적인 환경에서 웹 해킹을 배우기 위한 것입니다.

자세한 내용은 여기에서 확인하세요.

면책 조항

실제 웹 서버(내부 또는 외부)보다는 가상 머신에 랩을 설치하는 것을 적극 권장합니다.

본 애플리케이션(TIWAP)을 사용하는 방식에 대해 당사는 책임을 지지 않습니다. 이 애플리케이션은 교육 목적으로만 제작되었으며 악의적으로 사용되어서는 안 됩니다. 이 애플리케이션을 설치하여 웹 서버가 손상된 경우, 당사의 책임이 아니라 업로드하고 설치한 사람의 책임입니다.

설치 및 설정

설치와 설정을 쉽게 하기 위해 모든 것을 미리 구성했습니다. 시스템에 Docker만 있으면 됩니다.

Docker 설치가 완료되면 다음 명령어를 실행하세요.

git clone https://github.com/tombstoneghost/TIWAP
cd TIWAP
docker-compose up

참고: 현재는 Linux에서만 작동하며, Windows 호환성은 작업 중입니다.

랩이 시작되면 기본 자격 증명으로 로그인할 수 있습니다.
사용자 이름: admin
비밀번호: admin

기술 스택

프론트엔드: HTML, CSS 및 JavaScript
백엔드: Python - Flask
데이터베이스: SQLite3 및 MongoDB

취약점

현재 랩에는 22개의 취약점이 있습니다. 모두 아래에 나열되어 있습니다:

• SQL 인젝션
• 블라인드 SQL 인젝션
• NoSQL 인젝션
• 명령 인젝션
• 비즈니스 로직 결함
• 민감 데이터 노출
• XML 외부 엔터티
• 보안 구성 오류
• 반사형 XSS
• 저장형 XSS
• DOM 기반 XSS
• HTML 인젝션
• 부적절한 인증서 검증
• 하드코딩된 자격 증명
• 안전하지 않은 파일 업로드
• 무차별 대입 공격
• 디렉터리 트래버설
• 사이트 간 요청 위조 (CSRF)
• 서버 측 요청 위조 (SSRF)
• 서버 측 템플릿 인젝션 (SSTI)
• JWT 토큰
• 안전하지 않은 역직렬화

각 취약점은 Low, Medium, Hard의 3가지 난이도 레벨이 있습니다. 이 레벨은 설정 페이지에서 설정할 수 있습니다.

버그 및 이슈

프로젝트에서 버그나 이슈를 발견하시면 아래 링크에 올려주시기 바랍니다.

https://github.com/tombstoneghost/TIWAP/issues

기여자

1. Simardeep Singh - LinkedIn | Twitter
2. Yash Giri - LinkedIn
3. Sakshi Aggarwal - LinkedIn | Twitter
4. Xavier Llauca - GitHub

기여자가 되고 싶으신가요?

1. 이 저장소에 Star를 눌러주세요.
2. 이 저장소를 Fork해주세요.
3. Fork한 저장소를 Clone해주세요.
4. 프로젝트 디렉터리로 이동해주세요.
5. 자신의 이름으로 새 브랜치를 생성해주세요.
6. 변경 사항을 적용해주세요.
7. 변경 사항을 Staging하고 Commit해주세요.
8. 로컬 변경 사항을 원격 저장소에 Push해주세요.
9. Pull Request를 생성해주세요.
10. 축하합니다! 성공했습니다.

라이선스

이 프로젝트는 MIT 라이선스를 따릅니다 - 자세한 내용은 여기를 클릭하세요.

즐거운 해킹 되세요! :)