VulnNodeApp

Uma aplicação vulnerável feita usando node.js, servidor express e engine de template ejs. Esta aplicação é destinada apenas a fins educacionais.

Configuração

Clonar este repositório

git clone https://github.com/4auvar/VulnNodeApp.git

Configuração da aplicação:

• Instale a versão mais recente do node.js com npm.
• Abra o terminal/prompt de comando e navegue até o local do repositório baixado/clonado.
• Execute o comando: npm install

Configuração do banco de dados

• Instale e configure a versão mais recente do mysql e inicie o serviço/daemon do mysql.
• Faça login com o usuário root no mysql e execute o script sql abaixo:

CREATE USER 'vulnnodeapp'@'localhost' IDENTIFIED BY 'password';
create database vuln_node_app_db;
GRANT ALL PRIVILEGES ON vuln_node_app_db.* TO 'vulnnodeapp'@'localhost';
USE vuln_node_app_db;
create table users (id int AUTO_INCREMENT PRIMARY KEY, fullname varchar(255), username varchar(255),password varchar(255), email varchar(255), phone varchar(255), profilepic varchar(255));
insert into users(fullname,username,password,email,phone) values("test1","test1","test1","[email protected]","976543210");
insert into users(fullname,username,password,email,phone) values("test2","test2","test2","[email protected]","9887987541");
insert into users(fullname,username,password,email,phone) values("test3","test3","test3","[email protected]","9876987611");
insert into users(fullname,username,password,email,phone) values("test4","test4","test4","[email protected]","9123459876");
insert into users(fullname,username,password,email,phone) values("test5","test5","test5","[email protected]","7893451230");

Configurar variáveis de ambiente básicas

• O usuário precisa definir as variáveis de ambiente abaixo.
  • DATABASE_HOST (Ex: localhost, 127.0.0.1, etc...)
  • DATABASE_NAME (Ex: vuln_node_app_db ou nome do BD que você alterou no script acima)
  • DATABASE_USER (Ex: vulnnodeapp ou nome de usuário que você alterou no script acima)
  • DATABASE_PASS (Ex: password ou senha que você alterou no script acima)

Iniciar o servidor

• Abra o prompt de comando/terminal e navegue até o local do seu repositório
• Execute o comando: npm start
• Acesse a aplicação em http://localhost:3000

Vulnerabilidades abordadas

• Injeção SQL
• Cross Site Scripting (XSS)
• Referência Insegura a Objetos (IDOR)
• Injeção de Comandos
• Recuperação Arbitrária de Arquivos
• Injeção de Expressões Regulares
• Injeção de Entidade XML Externa (XXE)
• Desserialização Node.js
• Configuração Incorreta de Segurança
• Gerenciamento de Sessão Inseguro

Tarefas pendentes

• Serão adicionadas novas vulnerabilidades como CORS, Injeção de Template, etc...
• Melhorar a documentação da aplicação

Problemas

• Caso encontre bugs na aplicação, fique à vontade para criar um issue no github.

Contribuição

• Sinta-se à vontade para criar um pull request para qualquer contribuição.

Você pode entrar em contato comigo em @4auvar