개요

Not Slithering Anywhere는 저희의 취약 애플리케이션인 Not Go-ing Anywhere의 Python(3) 버전입니다. Python 애플리케이션에서 흔히 발견되는 여러 보안 문제를 시연하고, 정적 및 동적 도구 테스트를 위한 기반을 제공하기 위한 것입니다.

시작하기

1. 다음과 같이 venv를 설정합니다: python3 -m venv ~/.venv/class
2. 다음과 같이 venv에 진입합니다: source ~/.venv/class/bin/activate
3. 의존성을 설치합니다: pip3 install -r requirements.txt
4. 애플리케이션을 실행합니다: python3 app.py

이 애플리케이션 자체는 취약점을 설명하기 위해 flask, SQLAlchemy, jinja2와 같은 일반적인 라이브러리를 사용합니다.

예상 취약점

서버

1. 잘못된 서버 구성
   1. CORS
   2. 캐싱
2. 인젝션 관련
   1. XSS (기술적으로는 OWASP에 따라 별도로 분류됨)
   2. SQLi
   3. 서버 측 템플릿 포함 (SSTI)
3. 잘못된 데이터 검증 (경로)
4. 인증(AuthN)/인가(AuthZ) 실패

일반 Python

1. Unix 및 Python 환경
2. 키 및 민감한 데이터 저장