TerraformGoat

English | 中文

TerraformGoat — это инструмент для развёртывания уязвимых сред в нескольких облаках, разработанный исследовательской лабораторией HXSecurity.

В настоящее время поддерживаются следующие облачные провайдеры: Alibaba Cloud, Tencent Cloud, Huawei Cloud, Amazon Web Services, Google Cloud Platform, Microsoft Azure.

🎯 Сценарии

💫 Установка

TerraformGoat развёртывается с помощью Docker-образов, поэтому требуется среда Docker Engine. Установку Docker Engine можно найти по адресу https://docs.docker.com/engine/install/

Выберите соответствующую команду установки в зависимости от используемого облачного провайдера.

Alibaba Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

Tencent Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker run -itd --name terraformgoat_tencentcloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_tencentcloud:0.0.7
docker exec -it terraformgoat_tencentcloud_0.0.7 /bin/bash

Huawei Cloud

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker run -itd --name terraformgoat_huaweicloud_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_huaweicloud:0.0.7
docker exec -it terraformgoat_huaweicloud_0.0.7 /bin/bash

Amazon Web Services

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker run -itd --name terraformgoat_aws_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aws:0.0.7
docker exec -it terraformgoat_aws_0.0.7 /bin/bash

Google Cloud Platform

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker run -itd --name terraformgoat_gcp_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_gcp:0.0.7
docker exec -it terraformgoat_gcp_0.0.7 /bin/bash

Microsoft Azure

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker run -itd --name terraformgoat_azure_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_azure:0.0.7
docker exec -it terraformgoat_azure_0.0.7 /bin/bash

📄 Демонстрация

После входа в контейнер перейдите в соответствующий каталог сценария и можно начинать развёртывание.

Ниже приведена демонстрация сборки сценария Alibaba Cloud Bucket Object Traversal.

docker pull registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker run -itd --name terraformgoat_aliyun_0.0.7 registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat_aliyun:0.0.7
docker exec -it terraformgoat_aliyun_0.0.7 /bin/bash

cd /TerraformGoat/aliyun/oss/bucket_object_traversal/
aliyun configure
terraform init
terraform apply

Программа запрашивает Enter a value:, введите yes и нажмите Enter, затем используйте curl для обращения к bucket — вы увидите перечисление объектов.

Чтобы избежать дальнейшего списания средств за облачные сервисы, не забудьте уничтожить сценарий после использования.

terraform destroy

🚀 Удаление

Если вы находитесь в контейнере, сначала выполните команду exit для выхода из контейнера, а затем выполните следующую команду на хосте.

docker stop $(docker ps -a -q -f "name=terraformgoat*")
docker rm $(docker ps -a -q -f "name=terraformgoat*")
docker rmi $(docker images -a -q -f "reference=registry.cn-hongkong.aliyuncs.com/huoxian_pub/terraformgoat*")

⚠️ Примечание

1. README каждой уязвимой среды выполняется в среде контейнера TerraformGoat, поэтому сначала необходимо развернуть среду контейнера TerraformGoat.
2. Из-за риска горизонтального перемещения внутри облачной сети в некоторых сценариях настоятельно рекомендуется использовать собственные тестовые аккаунты для настройки сценариев, избегая использования облачного аккаунта рабочей среды, и устанавливать TerraformGoat с помощью Dockerfile для изоляции локального токена облачного провайдера пользователя от токена тестового аккаунта.
3. TerraformGoat предназначен только для образовательных целей. Запрещается использовать его для незаконных или преступных действий. Любые последствия, возникшие в результате использования TerraformGoat, ложатся на плечи пользователя, а не организации HXSecurity.

🎊 Вклад

Вклад приветствуется и высоко ценится. Дополнительную информацию о рабочем процессе см. в CONTRIBUTING.md.

🪪 Лицензия

TerraformGoat распространяется под лицензией Apache 2.0. Подробности см. в файле LICENSE.

🔮 Статистика