Projeto de Aplicação Web Totalmente Insegura (TIWAP)

TIWAP é um laboratório de testes de segurança web feito com Flask para entusiastas de segurança iniciantes aprenderem sobre várias vulnerabilidades web. Inspirado no DVWA, os contribuidores se esforçaram ao máximo para recriar várias vulnerabilidades web.

A aplicação é feita exclusivamente para fins educacionais e para aprender hacking web em um ambiente legal.

Leia mais sobre aqui

Aviso Legal

Recomendamos fortemente instalar o laboratório em uma Máquina Virtual em vez de um servidor web ao vivo (Interno ou Externo).

Não nos responsabilizamos pela forma como qualquer pessoa usa esta aplicação (TIWAP). A aplicação foi feita apenas para fins educacionais e não deve ser usada maliciosamente. Se seus servidores web forem comprometidos devido à instalação desta aplicação, não é nossa responsabilidade, é responsabilidade da(s) pessoa(s) que a carregou e instalou.

Configuração e Instalação

Para facilitar a instalação e configuração, configuramos tudo para você. Tudo que você precisa é do Docker no seu sistema.

Assim que concluir a instalação do docker, execute os seguintes comandos.

git clone https://github.com/tombstoneghost/TIWAP
cd TIWAP
docker-compose up

Nota: Funciona apenas no Linux por enquanto e a compatibilidade com Windows está em andamento

Assim que o laboratório for iniciado, você pode fazer login usando as credenciais padrão.
Nome de usuário: admin
Senha: admin

Tech Stack

Front-End: HTML, CSS e JavaScript
Back-End: Python - Flask
Databases: SQLite3 e MongoDB

Vulnerabilidades

Atualmente, temos 22 vulnerabilidades no laboratório. Todas listadas abaixo:

• Injeção SQL
• Injeção SQL Cega
• Injeção NoSQL
• Injeção de Comandos
• Falha de Lógica de Negócios
• Exposição de Dados Sensíveis
• Entidades Externas XML
• Má Configuração de Segurança
• XSS Refletido
• XSS Armazenado
• XSS Baseado em DOM
• Injeção HTML
• Validação Incorreta de Certificado
• Credenciais Hardcoded
• Upload de Arquivos Inseguro
• Força Bruta
• Travessia de Diretório
• Falsificação de Solicitação entre Sites (CSRF)
• Falsificação de Solicitação no Lado do Servidor (SSRF)
• Injeção de Template no Lado do Servidor (SSTI)
• Token JWT
• Desserialização Insegura

Cada vulnerabilidade tem 3 níveis de dificuldade, nomeadamente Baixo, Médio e Difícil. Esses níveis podem ser definidos na página de configurações.

Bugs e Problemas

Se você encontrar algum bug ou problema com o projeto, por favor, levante-o no link abaixo.

https://github.com/tombstoneghost/TIWAP/issues

Contribuidores

1. Simardeep Singh - LinkedIn | Twitter
2. Yash Giri - LinkedIn
3. Sakshi Aggarwal - LinkedIn | Twitter
4. Xavier Llauca - GitHub

Quer ser um contribuidor?

1. Marque este repositório com estrela
2. Faça um fork deste repositório
3. Clone o repositório forkado
4. Navegue até o diretório do projeto
5. Crie um novo branch com seu nome
6. Faça as alterações
7. Prepare suas alterações e faça o commit
8. Envie suas alterações locais para o repositório remoto
9. Crie um Pull Request
10. Parabéns! Você conseguiu.

Licença

Este projeto está sob a Licença MIT - Clique aqui para detalhes.

Feliz Hacking! :)