세상에서 가장 신뢰할 수 있는 온라인 쇼핑몰. (@dschadow) — 인터넷 전체에서 최고의 주스 가게! (@shehackspurple) — 실제로 존재하는 앱 중 가장 버그가 없는 취약한 애플리케이션! (@vanderaj) — 처음엔 😂😂 그러다 😢 (@kramse) — 하지만 이건 주스와는 아무 관련이 없어요. (@coderPatros의 아내)

OWASP Juice Shop은 아마도 가장 현대적이고 정교한, 보안에 취약한 웹 애플리케이션입니다! 보안 교육, 인식 제고 데모, CTF, 그리고 보안 도구용 실험 대상으로 사용할 수 있습니다! Juice Shop은 OWASP Top Ten 전체의 취약점과 실제 애플리케이션에서 발견되는 다양한 기타 보안 결함을 포함합니다!

자세한 소개, 전체 기능 목록 및 아키텍처 개요는 공식 프로젝트 페이지를 방문하세요: https://owasp-juice.shop

목차

• 설정
  • Heroku에 배포 (무료 ($0/월) 다이노)
  • 소스에서
  • 패키지 배포판
  • Docker 컨테이너
  • Vagrant
  • Amazon EC2 인스턴스
  • Azure 컨테이너 인스턴스
  • Google Compute Engine 인스턴스
• 데모
• 문서
  • Node.js 버전 호환성
  • 문제 해결
  • 공식 동반 가이드
• 기여하기
• 참고 자료
• 굿즈
• 기부
• 기여자
• 라이선스

설정

Running OWASP Juice Shop 문서에서 덜 일반적인 설치 변형을 찾을 수 있습니다.

Heroku에 배포 (무료 ($0/월) 다이노)

1. Heroku에 가입하고 계정에 로그인합니다
2. 아래 버튼을 클릭하고 지침을 따릅니다

Juice Shop 인스턴스를 실행하는 가장 빠른 방법입니다! 이 저장소를 포크했다면 배포 버튼이 자동으로 포크를 감지해 배포합니다! DDoS 공격만 하지 않는다면 Heroku에서 Juice Shop 인스턴스를 해킹하는 데 어떤 도구나 스크립트를 사용해도 됩니다!

소스에서

1. node.js를 설치합니다
2. git clone https://github.com/bkimminich/juice-shop.git을 실행합니다(또는 저장소의 자신의 포크를 클론합니다)
3. cd juice-shop으로 클론한 폴더로 이동합니다
4. npm install을 실행합니다(최초 시작 전이나 소스 코드를 변경할 때만 하면 됩니다)
5. npm start를 실행합니다
6. http://localhost:3000으로 이동합니다

패키지 배포판

1. Windows, MacOS 또는 Linux 머신에 64비트 node.js를 설치합니다
2. 최신 릴리스에 첨부된 juice-shop-<version>_<node-version>_<os>_x64.zip(또는 .tgz)을 다운로드합니다
3. 압축을 풀고 압축 해제된 폴더로 cd 합니다
4. npm start를 실행합니다
5. http://localhost:3000으로 이동합니다

각 패키지 배포판에는 npm install이 실행된 OS 및 node.js 버전에 바인딩된 sqlite3 및 libxmljs용 바이너리가 포함되어 있습니다.

Docker 컨테이너

1. Docker를 설치합니다
2. docker pull bkimminich/juice-shop을 실행합니다
3. docker run --rm -p 3000:3000 bkimminich/juice-shop을 실행합니다
4. http://localhost:3000으로 이동합니다(macOS 및 Windows의 경우 네이티브 docker 설치 대신 docker-machine을 사용한다면 http://192.168.99.100:3000으로 이동합니다)

Vagrant

1. Vagrant와 Virtualbox를 설치합니다
2. git clone https://github.com/bkimminich/juice-shop.git을 실행합니다(또는 저장소의 자신의 포크를 클론합니다)
3. cd vagrant && vagrant up을 실행합니다
4. 192.168.33.10:3000으로 이동합니다

Amazon EC2 인스턴스

1. EC2 사이드 내비게이션에서 _Instances_를 선택하고 _Launch Instance_를 클릭합니다
2. _Step 1: Choose an Amazon Machine Image (AMI)_에서 Amazon Linux AMI 또는 _Amazon Linux 2 AMI_를 선택합니다
3. _Step 3: Configure Instance Details_에서 _Advanced Details_를 펼치고 아래 스크립트를 _User Data_에 복사합니다
4. _Step 6: Configure Security Group_에서 HTTP용 포트 80을 여는 _Rule_을 추가합니다
5. 인스턴스를 시작합니다
6. 인스턴스의 공개 DNS로 이동합니다

Azure 컨테이너 인스턴스

1. Azure CLI를 열고(az login을 통해) 로그인하거나, Azure Portal에 로그인한 후 _CloudShell_을 열고 Bash(PowerShell 아님)를 선택합니다.
2. az group create --name <group name> --location <location name, e.g. "centralus">를 실행하여 리소스 그룹을 생성합니다
3. az container create --resource-group <group name> --name <container name> --image bkimminich/juice-shop --dns-name-label <dns name label> --ports 3000 --ip-address public을 실행하여 새 컨테이너를 생성합니다
4. 컨테이너는 http://<dns name label>.<location name>.azurecontainer.io:3000에서 사용할 수 있습니다

Google Compute Engine 인스턴스

1. Google Cloud Console에 로그인하고 Cloud Shell을 엽니다.
2. juice-shop 컨테이너를 기반으로 새 GCE 인스턴스를 시작합니다. 출력에 제공된 EXTERNAL_IP를 기록해 두세요.

3. 포트 3000으로의 인바운드 트래픽을 허용하는 방화벽 규칙을 생성합니다

4. 이제 컨테이너가 실행 중이며 http://<EXTERNAL_IP>:3000/에서 사용할 수 있습니다

데모

OWASP Juice Shop 최신 버전을 자유롭게 살펴보세요: http://demo.owasp-juice.shop

이 인스턴스는 배포 테스트 및 미리보기 전용입니다! 이 인스턴스를 자신의 해킹 활동에 사용하는 것은 __금지__입니다! 가동 시간은 보장되지 않습니다! 망가뜨리면 엄한 눈초리를 받게 될 것입니다!

문서

Node.js 버전 호환성

OWASP Juice Shop은 공식 node.js LTS 일정에 최대한 맞춰 다음 node.js 버전을 공식 지원합니다. 이에 따라 Docker 이미지와 패키지 배포판이 제공됩니다.

Juice Shop은 위에 언급된 각 node.js 버전의 최신 .x 마이너 버전에서만 자동으로 테스트됩니다! 이전 마이너 node.js 릴리스가 항상 Juice Shop에서 작동한다는 보장은 없습니다! 선택한 버전을 최신으로 유지하세요.

문제 해결

애플리케이션 설정에 도움이 필요하면 기존 Troubleshooting 가이드를 확인하세요. 이것으로 문제가 해결되지 않으면 Gitter Chat에 구체적인 문제나 질문을 게시해 주세요. 커뮤니티 회원들이 최선을 다해 도와드릴 수 있습니다.

🛑 지원 요청이나 질문으로 GitHub 이슈를 열지 마세요!

공식 동반 가이드

OWASP Juice Shop에는 공식 동반 가이드 eBook이 포함되어 있습니다. 이 eBook은 애플리케이션에서 발견된 모든 취약점에 대한 전체 개요와 함께 이를 찾아내고 악용하는 방법에 대한 힌트를 제공합니다. 부록에는 모든 챌린지에 대한 완전한 단계별 해결 방법도 포함되어 있습니다. 커스텀 리브랜딩, CTF 지원, 트레이너 가이드 등에 대한 광범위한 문서도 포함되어 있습니다.

Pwning OWASP Juice Shop은 CC BY-NC-ND 4.0 에 따라 출판되었으며 LeanPub에서 PDF, Kindle 및 ePub 형식으로 무료 제공됩니다. 전체 콘텐츠를 온라인으로 열람할 수도 있습니다!

Pwning OWASP Juice Shop Cover

기여하기

새로운 기여자는 언제나 환영합니다! CONTRIBUTING.md를 확인하여 코드베이스에 기여하는 방법이나 다른 언어로의 번역에 대해 알아보세요!

참고 자료

OWASP Juice Shop에 관한 블로그 포스트나 잡지 기사를 작성했거나, 이를 언급한 팟캐스트를 진행했나요? 아니면 이 프로젝트가 언급된 컨퍼런스 발표, 미트업 세션, 해킹 워크숍 또는 공개 교육을 개최하거나 참여했나요?

포크하고 Pull Request를 열어 계속 성장하고 있는 REFERENCES.md 목록에 추가해 주세요!

굿즈

• Spreadshirt.com과 Spreadshirt.de에서 공식 OWASP Juice Shop 로고가 들어간 굿즈(티셔츠, 후디, 머그)를 구할 수 있습니다
• StickerYou.com에서는 노트북을 꾸밀 수 있는 OWASP Juice Shop 로고 변형 단일 스티커를 구할 수 있습니다. 자석, 다리미 부착 스티커, 스티커 시트, 임시 문신도 인쇄할 수 있습니다.

스티커를 얻는 가장 영예로운 방법은 이슈를 수정하거나, 심각한 버그를 발견하거나, 새 챌린지에 대한 좋은 아이디어를 제출하여 프로젝트에 기여하는 것입니다!

OWASP Juice Shop을 사용하거나 소개하거나 해킹하는 미트업 또는 컨퍼런스 발표를 주최한다면 스티커도 기꺼이 제공해 드립니다! 메일링 리스트나 프로젝트 리더에게 연락해 계획을 논의하세요!

기부

OWASP 재단은 Stripe를 통한 기부를 감사히 받습니다. Juice Shop과 같은 프로젝트는 이후 재단에 비용 상환을 요청할 수 있습니다. Juice Shop 프로젝트에 대한 지지를 표현하고 싶다면 기부 양식에서 '나를 OWASP Juice Shop의 지지자로 공개적으로 표시' 체크박스를 선택하세요. 기부와 기부금 사용 방법에 대한 자세한 내용은 여기에서 확인할 수 있습니다:

https://pwning.owasp-juice.shop/part3/donations.html

기여자

OWASP Juice Shop 핵심 프로젝트 팀은 다음과 같습니다:

• Björn Kimminich 일명 bkimminich (프로젝트 리더)
• Jannik Hollenbach 일명 J12934
• Timo Pagel 일명 wurstbrot

OWASP Juice Shop의 모든 기여자 목록은 HALL_OF_FAME.md를 방문하세요.

라이선스

이 프로그램은 자유 소프트웨어입니다: MIT 라이선스 조건에 따라 재배포하거나 수정할 수 있습니다. OWASP Juice Shop 및 모든 기여물은 Bjoern Kimminich 2014-2021의 저작권입니다.

Juice Shop 로고