Обзор

Not Slithering Anywhere — это Python(3)-версия нашего уязвимого приложения Not Go-ing Anywhere. Оно предназначено для демонстрации ряда проблем безопасности, часто встречающихся в Python-приложениях, а также для использования в качестве основы для тестирования статических и динамических инструментов.

Начало работы

1. Создайте виртуальное окружение: python3 -m venv ~/.venv/class
2. Активируйте виртуальное окружение: source ~/.venv/class/bin/activate
3. Установите зависимости: pip3 install -r requirements.txt
4. Запустите класс: python3 app.py

Сам класс использует распространённые библиотеки, такие как Flask, SQLAlchemy и Jinja2, для объяснения уязвимостей.

Ожидаемые уязвимости

Сервер

1. Неправильная конфигурация сервера
   1. CORS
   2. Кэширование
2. Уязвимости, связанные с инъекциями
   1. XSS (технически отдельная категория по версии OWASP)
   2. SQLi
   3. Server-Side Template Inclusion (SSTI)
3. Некорректная проверка данных (пути)
4. Ошибки аутентификации и авторизации (AuthN/AuthZ)

Общие для Python

1. Unix и окружение Python
2. Хранение ключей и чувствительных данных
3. Pickles и сериализация
4. Зависимости и инструменты