NodeGoat

Sendo leve, rápido e escalável, o Node.js está se tornando uma plataforma amplamente adotada para o desenvolvimento de aplicações web. Este projeto fornece um ambiente para aprender como os riscos de segurança do OWASP Top 10 se aplicam a aplicações web desenvolvidas com Node.js e como lidar com eles de forma eficaz.

Começando

OWASP Top 10 para aplicações web Node.js:

Conheça!

Esta aplicação inclui uma página de tutorial que explica as vulnerabilidades do OWASP Top 10 e como corrigi-las.

Depois que a aplicação estiver em execução, você pode acessar a página de tutorial em http://localhost:4000/tutorial (ou na porta que você configurou).

Faça!

Uma aplicação Node.js vulnerável para Ninjas para explorar, quebrar e corrigir. Você pode querer configurar sua própria cópia da aplicação para corrigir e testar vulnerabilidades. Dica: procure por comentários no código-fonte.

Contas de usuário padrão

O banco de dados vem pré-populado com estas contas de usuário criadas como parte dos dados iniciais -

• Conta de Admin - u:admin p:Admin_123
• Contas de Usuário (u:user1 p:User1_123), (u:user2 p:User2_123)
• Novos usuários também podem ser adicionados pela página de cadastro.

Como Configurar Sua Cópia do NodeGoat

OPÇÃO 1 - Executar o NodeGoat na sua máquina

1. Instale o Node.js - O NodeGoat requer Node v8 ou superior

2. Clone o repositório do GitHub:

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Vá para o diretório:

   cd NodeGoat
   

4. Instale os pacotes do Node:

   npm install
   

5. Configure o MongoDB. Você pode instalar o MongoDB localmente ou criar uma instância remota:

   • Usando MongoDB local:

     1. Instale o MongoDB Community Server
     2. Inicie o mongod

   • Usando instância remota do MongoDB:

     1. Implante um cluster do nível gratuito do MongoDB Atlas (M0 Sandbox)
     2. Habilite o acesso de rede ao cluster a partir do seu endereço IP atual
     3. Adicione um usuário do banco de dados ao cluster
     4. Defina a variável de ambiente MONGODB_URI para a string de conexão do seu cluster, que pode ser visualizada no diálogo de conexão do cluster. Selecione "Connect your application", defina o driver como "Node.js" e a versão como "2.2.12 or later". Isso fornecerá uma string de conexão no formato:

        mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
        

        Os campos <username> e <password> precisam ser preenchidos com os detalhes do usuário do banco de dados adicionado anteriormente. O campo <dbname> define o nome do banco de dados que o nodegoat usará no cluster (por exemplo, "nodegoat"). Os outros campos já estarão preenchidos com os detalhes corretos do seu cluster.

6. Popule o MongoDB com os dados iniciais necessários para a aplicação:

   npm run db:seed
   

   Por padrão, isso usará a configuração "development", mas a configuração desejada pode ser passada como argumento, se necessário.

7. Inicie o servidor. Você pode executar o servidor usando node ou nodemon:

   • Inicie o servidor com node. Isso inicia a aplicação NodeGoat em http://localhost:4000/:

     npm start
     

   • Inicie o servidor com nodemon, que reiniciará automaticamente a aplicação quando você fizer qualquer alteração. Isso inicia a aplicação NodeGoat em http://localhost:5000/:

     npm run dev
     

Personalizando a Configuração Padrão da Aplicação

Por padrão, a aplicação será hospedada na porta 4000 e se conectará a uma instância do MongoDB em localhost:27017. Para alterar isso, defina as variáveis de ambiente PORT e MONGODB_URI.

Outras configurações podem ser alteradas atualizando o arquivo de configuração.

OPÇÃO 2 - Executar o NodeGoat no Docker

O repositório inclui o Dockerfile e o docker-compose.yml necessários para configurar a aplicação e a instância do banco de dados e, em seguida, conectá-los.

1. Instale o docker e o docker compose

2. Clone o repositório do GitHub:

   git clone https://github.com/OWASP/NodeGoat.git
   

3. Vá para o diretório:

   cd NodeGoat
   

4. Construa as imagens:

   docker-compose build
   

5. Execute a aplicação; isso inicia a aplicação NodeGoat em http://localhost:4000/:

   docker-compose up
   

OPÇÃO 3 - Implantar no Heroku

Esta opção usa um servidor Node gratuito ($0/mês) do Heroku.

Embora não seja essencial, é recomendado que você faça um fork deste repositório e implante o repositório forkado. Isso permitirá que você corrija vulnerabilidades na sua própria versão do fork e, em seguida, implante e teste-a no Heroku.

1. Configure uma instância do MongoDB publicamente acessível:

   1. Implante um cluster do nível gratuito do MongoDB Atlas (M0 Sandbox)
   2. Habilite o acesso de rede ao cluster a partir de qualquer lugar (intervalo CIDR 0.0.0.0/0)
   3. Adicione um usuário do banco de dados ao cluster

2. Implante o NodeGoat no Heroku clicando no botão abaixo:

   

   No diálogo Create New App, defina a variável de configuração MONGODB_URI para a string de conexão do seu cluster MongoDB Atlas. Ela pode ser visualizada no diálogo de conexão do cluster. Selecione "Connect your application", defina o driver como "Node.js" e a versão como "2.2.12 or later". Isso fornecerá uma string de conexão no formato:

   mongodb://<username>:<password>@<cluster>/<dbname>?ssl=true&replicaSet=<rsname>&authSource=admin&retryWrites=true&w=majority
   

   Os campos <username> e <password> precisam ser preenchidos com os detalhes do usuário do banco de dados adicionado anteriormente. O campo <dbname> define o nome do banco de dados que o nodegoat usará no cluster (por exemplo, "nodegoat"). Os outros campos já estarão preenchidos com os detalhes corretos do seu cluster.

Reporte bugs, Feedback, Comentários

• Abra uma nova issue ou entre em contato com a equipe participando do chat no Slack ou

Contribuindo

Por favor, siga o guia de contribuição

Código de Conduta (CoC)

Este projeto está sujeito a um Código de Conduta.

Contribuidores