uma Damn Vulnerable Serverless Application

Damn Vulnerable Serverless Application (DVSA) é uma aplicação intencionalmente vulnerável que visa ser uma ajuda para profissionais de segurança testarem suas habilidades e ferramentas em um ambiente legal, ajudar desenvolvedores a entender melhor os processos de segurança de aplicações serverless e auxiliar estudantes e professores a aprenderem sobre segurança de aplicações serverless em um ambiente de sala de aula controlado.

O objetivo do DVSA é praticar algumas das vulnerabilidades serverless mais comuns, com uma interface simples e direta.

Observe que existem vulnerabilidades documentadas e não documentadas neste software. Isso é intencional. Você é incentivado a tentar descobrir o maior número possível de problemas.

Aviso Legal

Não instale o DVSA em uma conta de produção

Não nos responsabilizamos pela forma como qualquer pessoa utiliza esta aplicação (DVSA). Deixamos claros os propósitos da aplicação e ela não deve ser usada de forma maliciosa. Damos avisos e tomamos medidas para impedir que os utilizadores instalem o DVSA em contas de produção.

Implantação a partir do Application Repository

Implante o DVSA a partir do AWS Serverless Application Repository
Após a implantação estar concluída. Clique em 'View CloudFormation Stack'
Em 'Outputs' você encontrará o URL da aplicação (DVSA Website URL)

Desenvolvimento Local e Implantação

Cliente

Pré-requisitos para reconstruir o cliente

Node 8.16.2 (alternar entre versões do Node durante o desenvolvimento)
python2 (necessário para npm i node-gyp. Você pode usar npm config set python /path/to/your/python2)

Construir o cliente

$ ./dvsa.sh client-build

Atualizar o ficheiro do cliente com o backend previamente implantado

$ ./dvsa.sh client-connect --stack <STACK_NAME>

Atualizar o cliente implantado com alterações locais

$ ./dvsa.sh client-update --stack/--bucket
$ ./dvsa.sh client-update -h/--help para mais opções

Executar o cliente localmente

$ ./dvsa.sh client-start

Backend

Pré-requisitos para construir o backend

AWS SAM CLI

Passo a passo:

Faça as alterações desejadas no código do backend em backend/functions
Faça as alterações desejadas no seu ficheiro cloudformation template.yml
Se precisar de alterações pós-implantação, pode adicionar ficheiros a backend/deployment/ e usar a função backend/deployment/dvsa_init.py que é executada no final da implantação para realizar as ações necessárias.
$ ./dvsa.sh package-template (OPCIONAL: -h/--help para mais opções)
Implante o arquivo de template de saída com o console/CLI do Cloudformation

Executar o backend localmente

Você pode usar o SAM Local para iniciar funções Lambda e APIs
Alternativamente, você pode usar LocalStack

Nota: Se quiser apontar o seu cliente local para o seu backend local, execute $ ./dvsa.sh client-connect e SUBSTITUA o endpoint de ServiceEndpoint por http://localhost:3000 (Ainda estará a usar os pools do Cognito na AWS).

Subscrição de e-mail

O DVSA envia recibos por e-mail. Pode usar a página Inbox incorporada na aplicação para obter os e-mails e receber os recibos. Cada utilizador receberá automaticamente um e-mail do 1secmail.com que será verificado automaticamente. E-mails reais serão enviados para a sua conta e aparecerão na página Inbox da aplicação.

Se quiser que os utilizadores recebam e-mails na sua conta de e-mail real (ex.: gmail):

Envie um link de verificação de e-mail para o endereço de e-mail desejado, executando o seguinte comando (após clicar no link recebido, os e-mails serão também enviados para o seu endereço de e-mail real):

aws ses verify-email-identity --email-address <your_email>

Solicite um aumento do limite de envio. Isso permitirá que toda a sua conta na nuvem envie e-mails para qualquer endereço.

Informações Adicionais

Apresentação

Download

Documentação

AWS

veja LESSONS para informações sobre como hackear o DVSA.

veja VIDEOS para saber como implantar, usar e hackear o DVSA.

Links

OWASP Top 10 - Interpretação Serverless

Mergulho Profundo em Ataques Serverless - Série

Projeto OWASP Serverless Top 10

Conta do Twitter (hackeável)

Canal Slack #project-sls-top-10

Post no blog do DVSA

Nas Notícias

Agradecimentos

DVSA foi criado por Tal Melamed

Licença

Damn Vulnerable Serverless Application (DVSA) é um software livre: você pode redistribuí-lo e/ou modificá-lo sob os termos da GNU General Public License publicada pela Free Software Foundation, seja a versão 3 da Licença, ou (a seu critério) qualquer versão posterior.

Damn Vulnerable Serverless Application (DVSA) é distribuída na esperança de que seja útil, mas SEM QUALQUER GARANTIA; sem mesmo a garantia implícita de COMERCIALIZAÇÃO ou ADEQUAÇÃO A UM PROPÓSITO ESPECÍFICO. Consulte a GNU General Public License para mais detalhes.

Você deve ter recebido uma cópia da GNU General Public License junto com Damn Vulnerable Serverless Application (DVSA). Se não, consulte http://www.gnu.org/licenses/.

DVSA

Mais Populares