Логотип Juice Shop OWASP Juice Shop

Test Coverage Maintainability

Самый надёжный онлайн-магазин из всех существующих. (@dschadow) — Лучший сок-шоп во всём интернете! (@shehackspurple) — На самом деле самое безбажное уязвимое приложение в мире! (@vanderaj) — Сначала 😂😂 потом 😢 (@kramse) — Но это никак не связано с соком. (жена @coderPatros)

OWASP Juice Shop — вероятно, самое современное и сложное небезопасное веб-приложение! Его можно использовать в учебных курсах по безопасности, демо‑мероприятиях, CTF и как подопытную свинку для инструментов безопасности! Juice Shop охватывает уязвимости из всего OWASP Top Ten, а также множество других проблем безопасности, встречающихся в реальных приложениях!

Подробное введение, полный список функций и обзор архитектуры — на официальной странице проекта: https://owasp-juice.shop

Содержание

• Настройка
  • Развёртывание на Heroku (бесплатный ($0/мес) dyno)
  • Из исходников
  • Пакетные дистрибутивы
  • Docker-контейнер
  • Vagrant
  • Инстанс Amazon EC2
  • Инстанс контейнера Azure
  • Инстанс Google Compute Engine
• Демо
• Документация
  • Совместимость с версиями Node.js
  • Устранение неполадок
  • Официальное руководство-компаньон
• Участие
• Ссылки
• Мерч
• Пожертвования
• Участники
• Лицензия

Настройка

Некоторые менее распространённые варианты установки вы найдёте в документации Запуск OWASP Juice Shop.

Развёртывание на Heroku (бесплатный ($0/мес) dyno)

1. Зарегистрируйтесь на Heroku и войдите в свою учётную запись
2. Нажмите кнопку ниже и следуйте инструкциям

Это самый быстрый способ получить работающий экземпляр Juice Shop! Если вы форкнули этот репозиторий, кнопка развёртывания автоматически подхватит ваш форк! Пока вы не совершаете DDoS-атаки, вы можете использовать любые инструменты или скрипты для взлома вашего экземпляра Juice Shop на Heroku!

Из исходников

1. Установите node.js
2. Выполните git clone https://github.com/bkimminich/juice-shop.git (или склонируйте свой форк репозитория)
3. Перейдите в клонированную папку командой cd juice-shop
4. Выполните npm install (требуется только перед первым запуском или при изменении исходного кода)
5. Выполните npm start
6. Откройте в браузере http://localhost:3000

Пакетные дистрибутивы

1. Установите 64-битный node.js на вашу Windows, MacOS или Linux-машину
2. Скачайте juice-shop-<версия>_<версия-node>_<ОС>_x64.zip (или .tgz) из последнего релиза
3. Распакуйте и перейдите cd в распакованную папку
4. Выполните npm start
5. Откройте в браузере http://localhost:3000

Каждый пакетный дистрибутив включает некоторые бинарники для sqlite3 и libxmljs, привязанные к ОС и версии node.js, на которой был выполнен npm install.

Docker-контейнер

1. Установите Docker
2. Выполните docker pull bkimminich/juice-shop
3. Выполните docker run --rm -p 3000:3000 bkimminich/juice-shop
4. Откройте в браузере http://localhost:3000 (на macOS и Windows откройте http://192.168.99.100:3000, если используете docker-machine вместо родной установки docker)

Vagrant

1. Установите Vagrant и Virtualbox
2. Выполните git clone https://github.com/bkimminich/juice-shop.git (или склонируйте свой форк репозитория)
3. Выполните cd vagrant && vagrant up
4. Откройте в браузере 192.168.33.10:3000

Инстанс Amazon EC2

1. В боковом меню EC2 выберите Instances и нажмите Launch Instance
2. На шаге Step 1: Choose an Amazon Machine Image (AMI) выберите Amazon Linux AMI или Amazon Linux 2 AMI
3. На шаге Step 3: Configure Instance Details разверните Advanced Details и скопируйте скрипт ниже в User Data
4. На шаге Step 6: Configure Security Group добавьте Rule, открывающий порт 80 для HTTP
5. Запустите свой инстанс
6. Откройте публичный DNS вашего инстанса

#!/bin/bash
yum update -y
yum install -y docker
service docker start
docker pull bkimminich/juice-shop
docker run -d -p 80:3000 bkimminich/juice-shop

Инстанс контейнера Azure

1. Откройте и войдите (через az login) в Azure CLI или войдите на Azure Portal, откройте CloudShell и выберите Bash (не PowerShell).
2. Создайте группу ресурсов, выполнив az group create --name <group name> --location <location name, e.g. "centralus">
3. Создайте новый контейнер, выполнив az container create --resource-group <group name> --name <container name> --image bkimminich/juice-shop --dns-name-label <dns name label> --ports 3000 --ip-address public
4. Ваш контейнер будет доступен по адресу http://<dns name label>.<location name>.azurecontainer.io:3000

Инстанс Google Compute Engine

1. Войдите в консоль Google Cloud и откройте Cloud Shell.
2. Запустите новый инстанс GCE на основе контейнера juice-shop. Обратите внимание на EXTERNAL_IP, указанный в выводе.

gcloud compute instances create-with-container owasp-juice-shop-app --container-image bkimminich/juice-shop

3. Создайте правило брандмауэра, разрешающее входящий трафик на порт 3000

gcloud compute firewall-rules create juice-rule --allow tcp:3000

4. Ваш контейнер работает и доступен по адресу http://<EXTERNAL_IP>:3000/

Демо

Посмотрите последнюю версию OWASP Juice Shop: http://demo.owasp-juice.shop

Это только тестовый экземпляр для развёртывания и ознакомления! Вы не должны использовать этот экземпляр для собственных взломов! Гарантии бесперебойной работы нет! Гарантия строгих взглядов, если вы его сломаете!

Документация

Совместимость с версиями Node.js

OWASP Juice Shop официально поддерживает следующие версии node.js в соответствии с официальным графиком LTS node.js настолько точно, насколько это возможно. Docker-образы и пакетные дистрибутивы предоставляются соответственно.

Juice Shop автоматически тестируется только на последнем минорном выпуске .x каждой упомянутой версии node.js! Нет гарантии, что более старые минорные релизы node.js будут всегда работать с Juice Shop! Пожалуйста, убедитесь, что вы используете актуальную версию выбранной вами версии.

Устранение неполадок

Если вам нужна помощь с настройкой приложения, обратитесь к нашему существующему руководству Troubleshooting. Если это не решит вашу проблему, опубликуйте свой конкретный вопрос в Gitter Chat, где участники сообщества смогут попытаться вам помочь.

🛑 Пожалуйста, не открывайте GitHub Issues для запросов поддержки или вопросов!

Официальное руководство-компаньон

OWASP Juice Shop поставляется с официальной электронной книгой-компаньоном. Она даст полный обзор всех уязвимостей, найденных в приложении, включая подсказки, как их обнаружить и эксплуатировать. В приложении вы даже найдёте полные пошаговые решения для каждой задачи. Также включена обширная документация по кастомизации бренда, поддержке CTF, руководство для инструкторов и многое другое.

Pwning OWASP Juice Shop опубликована под лицензией CC BY-NC-ND 4.0 и доступна бесплатно в форматах PDF, Kindle и ePub на LeanPub. Вы также можете просмотреть полное содержимое онлайн!

Обложка Pwning OWASP Juice Shop

Участие

Мы всегда рады новым участникам! Пожалуйста, проверьте CONTRIBUTING.md, чтобы узнать, как внести вклад в наш код или перевести на разные языки!

Ссылки

Написали сообщение в блоге, статью в журнале или записали подкаст о OWASP Juice Shop? Или, возможно, провели или участвовали в конференц‑докладе, встрече, хакерском воркшопе или публичном обучении, где упоминался этот проект?

Добавьте это в наш постоянно растущий список REFERENCES.md, сделав форк и открыв Pull Request!

Мерч

• На Spreadshirt.com и Spreadshirt.de вы можете купить мерч (футболки, худи, кружки) с официальным логотипом OWASP Juice Shop
• На StickerYou.com вы можете приобрести варианты логотипа OWASP Juice Shop в виде отдельных наклеек для ноутбука. Также можно заказать магниты, нашивки, листы наклеек и временные татуировки.

Самый почётный способ получить наклейки — внести вклад в проект, исправив ошибку, найдя серьёзный баг или предложив хорошую идею для новой задачи!

Мы также с радостью предоставим вам наклейки, если вы организуете встречу или конференц‑доклад, где будете использовать, рассказывать о OWASP Juice Shop или взламывать его! Просто напишите в список рассылки или лидеру проекта, чтобы обсудить ваши планы!

Пожертвования

Фонд OWASP с благодарностью принимает пожертвования через Stripe. Такие проекты, как Juice Shop, могут затем запрашивать возмещение расходов у Фонда. Если вы хотите выразить свою поддержку проекту Juice Shop, пожалуйста, отметьте галочку «Публично указать меня как сторонника OWASP Juice Shop» в форме пожертвования. Подробнее о пожертвованиях и их использовании можно узнать здесь:

https://pwning.owasp-juice.shop/part3/donations.html

Участники

Основная команда проекта OWASP Juice Shop:

• Björn Kimminich aka bkimminich (Лидер проекта)
• Jannik Hollenbach aka J12934
• Timo Pagel aka wurstbrot

Полный список всех участников OWASP Juice Shop — на странице HALL_OF_FAME.md.

Лицензия

Эта программа является свободным программным обеспечением: вы можете распространять и/или изменять её в соответствии с условиями лицензии MIT. OWASP Juice Shop и любые вклады защищены авторским правом © Bjoern Kimminich 2014–2021.

Логотип Juice Shop