Проект «Полностью Небезопасное Веб-Приложение» (TIWAP)

TIWAP — это лаборатория для тестирования веб-безопасности, созданная с использованием Flask для начинающих энтузиастов безопасности, желающих изучить различные веб-уязвимости. Вдохновлённая DVWA, авторы постарались воспроизвести множество веб-уязвимостей.

Приложение создано исключительно в образовательных целях и для изучения взлома веб-приложений в легальной среде.

Подробнее об этом читайте здесь

Отказ от ответственности

Мы настоятельно рекомендуем устанавливать лабораторию на виртуальную машину, а не на реальный веб-сервер (внутренний или внешний).

Мы не несём ответственности за то, как кто-либо использует данное приложение (TIWAP). Приложение создано только в образовательных целях и не должно использоваться со злым умыслом. Если ваши веб-серверы будут скомпрометированы из-за установки этого приложения, это не наша ответственность — это ответственность лица/лиц, загрузивших и установивших его.

Установка и настройка

Чтобы установка и настройка были простыми, мы всё настроили за вас. Вам нужен только Docker на вашей системе.

После установки Docker выполните следующие команды.

git clone https://github.com/tombstoneghost/TIWAP
cd TIWAP
docker-compose up

Примечание: пока работает только на Linux, совместимость с Windows находится в разработке.

После запуска лаборатории вы можете войти, используя учётные данные по умолчанию.
Имя пользователя: admin
Пароль: admin

Технический стек

Фронтенд: HTML, CSS и JavaScript
Бэкенд: Python — Flask
Базы данных: SQLite3 и MongoDB

Уязвимости

На данный момент в лаборатории представлено 22 уязвимости. Все перечислены ниже:

• SQL-инъекция
• Слепая SQL-инъекция
• NoSQL-инъекция
• Инъекция команд
• Ошибка бизнес-логики
• Раскрытие чувствительных данных
• XML-внешние сущности (XXE)
• Неправильная конфигурация безопасности
• Отражённый XSS
• Хранимый XSS
• DOM-основанный XSS
• HTML-инъекция
• Неправильная проверка сертификата
• Жёстко закодированные учётные данные
• Небезопасная загрузка файлов
• Брутфорс
• Обход каталогов
• Межсайтовая подделка запроса (CSRF)
• Подделка серверного запроса (SSRF)
• Серверная инъекция шаблонов (SSTI)
• JWT-токен
• Небезопасная десериализация

Каждая уязвимость имеет 3 уровня сложности: низкий, средний и высокий. Эти уровни можно задать на странице настроек.

Ошибки и проблемы

Если вы обнаружили какие-либо ошибки или проблемы с проектом, пожалуйста, сообщите о них по ссылке ниже.

https://github.com/tombstoneghost/TIWAP/issues

Авторы

1. Симардип Сингх — LinkedIn | Twitter
2. Яш Гири — LinkedIn
3. Сакши Аггарвал — LinkedIn | Twitter
4. Ксавье Ллаука — GitHub

Хотите стать автором?

1. Поставьте звёздочку этому репозиторию
2. Сделайте форк этого репозитория
3. Клонируйте форкнутый репозиторий
4. Перейдите в директорию проекта
5. Создайте новую ветку с вашим именем
6. Внесите изменения
7. Зафиксируйте изменения и сделайте коммит
8. Отправьте локальные изменения в удалённый репозиторий
9. Создайте Pull Request
10. Поздравляю! Вы это сделали.

Лицензия

Этот проект распространяется под лицензией MIT — нажмите здесь для получения подробной информации.

Удачного взлома! :)