LazyWeb - Уязвимое веб-приложение

LazyWeb — это демонстрационное веб-приложение, предназначенное для демонстрации распространенных уязвимостей серверных приложений. Каждая уязвимость классифицирована с указанием соответствующего уровня сложности, чтобы обеспечить всесторонний опыт обучения для разработчиков и энтузиастов безопасности.

Ключевые особенности

• Демонстрирует реальные уязвимости в веб-приложениях.
• Охватывает уязвимости от базовых до продвинутых, позволяя пользователям проверять свои навыки на разных уровнях.
• Направлен на помощь специалистам по безопасности в понимании природы уязвимостей и способов их устранения.

Включенные уязвимости

Приложение включает следующие уязвимости:

• OS Command Injection
• SQL Injection
• XML External Entity Injection (XXE)
• Insecure Direct Object Reference (IDOR)
• Local File Inclusion (LFI)
• Insecure File Upload
• Arbitrary Session Assignment
• Broken Authorization
• Broken Authentication
• .git Folder Disclosure (if cloned directly to web root)

Инструкции по развертыванию

Чтобы начать работу с проектом, просто выполните следующую команду:

docker-compose up

Это настроит среду и запустит приложение с помощью Docker.

Важные замечания

• Убедитесь, что каталоги templates_c и user/avatar имеют правильные права собственности. После развертывания выполните:

  root@kitploit:~

  sudo chown www-data:www-data templates_c user/avatar
  

Статьи и ресурсы

• LFI to RCE via PHAR
• Writeup on Pojiiix

Лицензия

Этот проект лицензирован на условиях лицензии MIT — подробнее см. в файле LICENSE.