Намеренно уязвимые Serverless-функции для понимания специфики уязвимостей безопасности Serverless

Требования

Код

• Python 3.6
• Pipenv (управление зависимостями)
• Chalice
• PyYAML
• HTTPie
• AWS CLI с root-правами или высокими привилегиями, необходимыми для развертывания/настройки различных компонентов AWS
• jq

Ресурсы AWS

• RDS => MySQL (соответствует условиям бесплатного тарифа)
• DynamoDB (соответствует условиям бесплатного тарифа)
• Amazon SNS (Pub/Sub для тем)
• Amazon Lambda, ну... для функций
• Amazon Cloudwatch Logs

Отказ от ответственности

Используйте только в личных/непроизводственных аккаунтах Мы не несем ответственности за то, как кто-либо использует эти функции (DVFaaS). Мы четко обозначили назначение приложения, и его не следует использовать в злонамеренных целях. Мы дали предупреждения и приняли меры, чтобы не допустить установки DVFaaS на производственные аккаунты. Вы несете ответственность за необходимые разрешения (если таковые требуются) для запуска этого приложения в вашем аккаунте AWS.

Установка и настройка

• Клонируйте проект: git clone <URL>
• Для управления зависимостями проекта мы используем pipenv. Вы можете использовать pipenv install для установки всех зависимостей.
• Каждая лабораторная работа имеет свою спецификацию развертывания. В большинстве случаев в каждой лабораторной работе есть отдельный каталог развертывания ops, используемый для управления развертываниями.
• Мы настоятельно рекомендуем использовать httpie в качестве HTTP-клиента, так как он работает из командной строки и очень прост в использовании.
• Для некоторых развертываний мы используем Terraform для выполнения развертываний, настройки ролей AWS IAM и т.д.
  • Обратите внимание, что для работы всего этого вам понадобятся высокие/root-привилегии в AWS вместе с aws cli.
• В настоящее время для всех упражнений мы используем Chalice (фреймворк AWS Lambda на Python).
  • Во всех лабораторных работах есть папка .chalice, которая распознается chalice для целей развертывания.
  • Для большинства лабораторных работ вам потребуется настроить файл .chalice/config.json для конфигурации развертывания. Пожалуйста, прочитайте README каждой лабораторной работы для получения этой информации. Это необходимо сделать после развертывания (то есть в каталогах ops, где это применимо).
  • После этого развертывание выполняется довольно просто — с помощью команды chalice deploy, которая отправит вашу Lambda-функцию в ваш аккаунт AWS:
    • Обратите внимание, что для работы всего этого вам понадобятся высокие/root-привилегии в AWS вместе с aws cli.

TODO

• Серия видео, объясняющих развертывание и проведение атак
• Примеры GraphQL
• Примеры NodeJS