易受攻击的银行应用程序 🏦

一个故意包含漏洞的 Web 应用程序，用于练习 Web、API 和 LLM 的应用安全测试、安全代码审查以及在 CI/CD 管道中实施安全措施。

⚠️ 警告：此应用程序有意包含漏洞，仅应在隔离环境中用于教育目的。

概述

本项目是一个内置多种安全漏洞的简单银行应用程序。它旨在帮助安全工程师、开发人员、实习生、QA 分析师和 DevSecOps 从业者了解：

• 常见的 Web 应用程序和 API 漏洞
• AI/LLM 漏洞
• 安全编码实践
• 安全测试自动化
• DevSecOps 实施

功能与漏洞

核心银行功能

• 🔐 用户身份验证与授权
• 💰 账户余额管理
• 💸 转账
• 📝 贷款申请
• 👤 头像上传
• 📊 交易历史
• 📈 交易分析仪表板（基于 GraphQL）
• 🔑 密码重置系统（3 位数 PIN）
• 💳 多币种虚拟卡管理
• 💱 从主美元余额为虚拟卡充值，内置货币转换（USD、GBP、NGN、JPY、EUR、QAR、BTC、ETH）
• 🛒 面向故意易受攻击的电商/演示集成的公共商户支付 API
• 📱 账单支付系统
• 🤖 AI 客户支持代理（DeepSeek API 驱动的真实 LLM / 模拟模式）

已实现的漏洞

1. 身份验证与授权

   • 登录中的 SQL 注入
   • JWT 实现薄弱
   • 对象级授权失效（BOLA）
   • 对象属性级授权失效（BOPLA）
   • 批量赋值与过度数据暴露
   • 弱密码重置机制（3 位数 PIN）
   • 令牌存储在 localStorage 中
   • 无服务端令牌失效机制
   • 无会话过期机制

2. 数据安全

   • 信息泄露
   • 敏感数据暴露
   • 明文密码存储
   • SQL 注入点
   • 调试信息暴露
   • 详细错误消息暴露

3. 交易漏洞

   • 无金额验证
   • 可进行负金额转账
   • 无交易限额
   • 转账和余额更新中的竞态条件
   • 交易历史信息泄露
   • 未对收款账户进行验证

4. 文件操作

   • 不受限制的文件上传
   • 路径遍历漏洞
   • 无文件类型验证
   • 目录遍历
   • 无文件大小限制
   • 不安全的文件命名
   • 通过基于 URL 的头像导入实现服务端请求伪造（SSRF）

5. 会话管理

   • 令牌漏洞
   • 无会话过期机制
   • 弱密钥
   • 令牌在 URL 中暴露

6. 客户端与服务端缺陷

   • 跨站脚本（XSS）
   • 跨站请求伪造（CSRF）
   • 不安全的直接对象引用
   • 无速率限制

7. 虚拟卡漏洞

   • 卡片限额更新中的批量赋值
   • 卡片充值汇率处理中的批量赋值
   • 可预测的卡号生成
   • 卡片详细信息明文存储
   • 未对卡片限额进行验证
   • 卡片操作中的 BOLA
   • 余额更新中的竞态条件
   • 卡片详细信息泄露
   • 无交易验证
   • 缺乏卡片活动监控
   • 卡片充值期间由客户端控制的货币转换

8. 账单支付漏洞

   • 未对支付金额进行验证
   • 收款方查询中的 SQL 注入
   • 支付历史中的信息泄露
   • 可预测的参考编号
   • 交易历史暴露
   • 未对收款方账户进行验证
   • 支付处理中的竞态条件
   • 支付历史访问中的 BOLA
   • 缺少支付限额

9. 商户支付 API 漏洞

   • 商户密码和 API 密钥明文存储
   • 注册和登录响应中返回 API 密钥
   • 商户支付 API 接受原始卡号/CVV
   • 易受 SQL 注入的商户和卡片查询
   • 缺少幂等性、重放保护、支付限额和速率限制
   • 商户支付查询中的对象级授权缺陷
   • 详细的支付拒绝原因和调试数据暴露
   • 可预测的授权码生成

10. AI 客户支持漏洞

    • 提示注入（CWE-77）
    • 基于 AI 的信息泄露（CWE-200）
    • AI 上下文中的授权失效（CWE-862）
    • AI 系统信息暴露（CWE-209）
    • AI 提示的输入验证不足（CWE-20）
    • 通过 AI 操纵直接访问数据库
    • AI 角色覆盖攻击
    • 上下文注入漏洞
    • AI 辅助的未授权数据访问
    • AI 系统提示和配置暴露

11. GraphQL 漏洞

    • 在交易分析端点上启用了模式自省（schema introspection）
    • /graphql 继承了基于 JWT 的弱身份验证
    • GraphQL 解析器查询构建中的 SQL 注入
    • 缺少 GraphQL 深度/复杂度控制
    • 原始 GraphQL 错误泄露
    • 通过管理员范围的查询暴露交易分析数据

安装与设置 🚀

前置要求

• Docker 和 Docker Compose（用于容器化部署）
• PostgreSQL（本地运行时需要）
• Python 3.9 或更高版本（本地部署时需要）
• Git

方式一：使用 Docker（推荐）

使用 Docker Compose（最简单）

1. 克隆仓库：

git clone https://github.com/Commando-X/vuln-bank.git
cd vuln-bank

2. 启动应用程序：

docker-compose up -d --build

应用程序将在 http://localhost:5000 上可用。

容器恢复行为

Docker 部署包含一些运行保障机制，使应用程序无需手动 SSH 干预即可恢复：

• web 和 db 使用 restart: unless-stopped，因此如果进程退出，Docker 会自动重启它们。
• db 提供健康检查，web 在启动前会等待 Postgres 就绪。
• web 以 debug=True 运行 Flask 开发服务器（有意为之——保留针对 Werkzeug 调试器的训练场景）。
• web 暴露 GET /healthz，以便容器可以报告应用和数据库是否实际可用。

这既保持了故意易受攻击的应用程序行为不变，又使容器生命周期更具弹性。

本地冒烟测试

无需启动真实容器即可验证本地运行时配置：

python3 -m unittest discover -s tests -v

这会检查 /healthz 端点的行为，并验证 start.sh 会等待数据库就绪后再启动 Flask 应用。 如果当前 Python 环境中未安装 Flask 应用依赖项，则会跳过 /healthz 路由测试，但启动脚本冒烟测试仍会运行。

仅使用 Docker

1. 克隆仓库：

git clone https://github.com/Commando-X/vuln-bank.git
cd vuln-bank

2. 构建 Docker 镜像：

docker build -t vuln-bank .

3. 运行容器：

docker run -p 5000:5000 vuln-bank

方式二：本地安装

前置要求

• Python 3.9 或更高版本
• 已安装并运行的 PostgreSQL
• pip（Python 包管理器）
• Git

步骤

1. 克隆仓库：

git clone https://github.com/Commando-X/vuln-bank.git
cd vuln-bank

2. 创建并激活虚拟环境（推荐）：

# On Windows
python -m venv venv
venv\Scripts\activate

# On Linux/Mac
python3 -m venv venv
source venv/bin/activate

3. 安装所需包：

pip install -r requirements.txt

4. 创建必要的目录：

# On Windows
mkdir static\uploads

# On Linux/Mac
mkdir -p static/uploads

5. 修改 .env 文件：

   • 打开 .env，将 DB_HOST 从 'db' 改为 'localhost'，以便连接本地 PostgreSQL

6. 运行应用程序：

# On Windows
python app.py

# On Linux/Mac
python3 app.py

环境变量

出于教育目的，.env 文件被有意包含在此仓库中，以方便快速设置。在真实应用程序中，你绝不应将 .env 文件提交到版本控制。

当前环境变量：

DB_NAME=vulnerable_bank
DB_USER=postgres
DB_PASSWORD=postgres
DB_HOST=db  # Change to 'localhost' for local installation
DB_PORT=5432

数据库设置

该应用程序使用 PostgreSQL。首次运行应用程序时，数据库将自动初始化，并创建：

• 用户表
• 交易表
• 贷款表

访问应用程序

• 主应用程序：http://localhost:5000
• API 文档：http://localhost:5000/api/docs
• GraphQL 分析端点：http://localhost:5000/graphql
• 管理员分析视图：以管理员用户登录后，可从管理仪表板访问

常见问题与解决方案

Windows

1. 如果出现 "python not found"：

   • 确保 Python 已添加到系统 PATH
   • 尝试使用 py 代替 python

2. uploads 文件夹的权限问题：

   • 以管理员身份运行命令提示符
   • 确保你对该项目目录具有写入权限

Linux/Mac

1. 创建目录时权限被拒绝：

   sudo mkdir -p static/uploads
   sudo chown -R $USER:$USER static/uploads
   

2. 端口 5000 已被占用：

   # Kill process using port 5000
   sudo lsof -i:5000
   sudo kill <PID>
   

PostgreSQL 问题

1. 连接被拒绝：

   • 确保 PostgreSQL 正在运行
   • 检查 .env 文件中的凭据
   • 确认 PostgreSQL 端口未被阻止

2. 身份验证失败：

   • 确保 .env 中的 DB_PASSWORD 与你的 Postgres 用户密码一致。

   • 或者使用以下命令重置 postgres 用户：

     ALTER ROLE postgres WITH PASSWORD 'your_password';
     

3. 安装错误：

   • 如果遇到任何 PostgreSQL 错误，可通过 Chocolatey 安装并将密码设置为 postgres：

     choco install postgresql --version=17.4.0 -y
     # Use the generated password, or immediately reset it:
     & 'C:\Program Files\PostgreSQL\17\bin\psql.exe' -U postgres -c "ALTER ROLE postgres WITH PASSWORD 'postgres';"
     

4. 数据库不存在：

   • 手动创建：

     CREATE DATABASE vulnerable_bank;
     

   • 或者运行：

     createdb -U postgres -h localhost vulnerable_bank
     

测试指南 🎯

身份验证测试

1. 登录中的 SQL 注入
2. 弱密码重置（暴力破解 3 位数 PIN）
3. JWT 令牌篡改
4. 用户名枚举
5. 令牌存储漏洞

授权测试

1. 通过账号访问其他用户的交易历史
2. 上传恶意文件
3. 访问管理面板
4. 篡改 JWT 声明
5. 利用 BOPLA（过度数据暴露和批量赋值）
6. 通过注册实现权限提升

交易测试

1. 尝试负金额转账
2. 转账中的竞态条件
3. 交易历史访问
4. 余额篡改

文件上传测试

1. 上传未授权的文件类型
2. 尝试路径遍历
3. 上传超大文件
4. 测试文件覆盖场景
5. 文件类型绕过
6. SSRF：使用 /upload_profile_picture_url 并传入内部或可控的 URL
   • 带内 SSRF 目标（仅限回环）：
     • http://127.0.0.1:5000/internal/secret
     • http://127.0.0.1:5000/internal/config.json
     • http://127.0.0.1:5000/latest/meta-data/（以及 .../iam/security-credentials/ 等子路径）
   • 盲 SSRF：指向 https://webhook.site/<your-id> 并观察传入的请求

SSRF 示例流程

curl -s -X POST http://localhost:5000/upload_profile_picture_url \
  -H "Authorization: Bearer <JWT>" \
  -H "Content-Type: application/json" \
  -d '{"image_url":"http://127.0.0.1:5000/internal/secret"}'
# -> Copy the returned file_path and GET http://localhost:5000/<file_path>

API 安全测试

1. 令牌篡改
2. API 端点中的 BOLA/BOPLA
3. 信息泄露
4. 错误消息分析

GraphQL 测试

1. 对 /graphql 运行模式自省（schema introspection）
2. 篡改 JWT 声明以访问管理员范围的分析数据
3. 通过 GraphQL 解析器输入（如 accountNumber）测试 SQL 注入
4. 观察 GraphQL 错误消息和路径泄露
5. 测试大型或嵌套查询，检查是否缺少深度/复杂度控制

虚拟卡测试

1. 利用卡片限额更新中的批量赋值漏洞
2. 篡改 /api/virtual-cards/<card_id>/fund 中的 exchange_rate，在 USD 转换期间超额充值卡片
3. 分析卡号生成模式
4. 访问未授权的卡片详细信息
5. 测试卡片冻结绕过
6. 交易历史篡改
7. 卡片限额验证绕过

商户支付 API 测试

公共商户 API 允许故意易受攻击的演示应用（如电商实验室）接受来自 Vulnbank 虚拟卡的付款。

电商集成示例流程

1. 以普通 Vulnbank 用户身份注册或登录。

2. 创建一张虚拟卡，并从用户的主余额充值。

3. 通过 http://localhost:5000/merchant/register 或 API 注册商户集成：

   curl -s -X POST http://localhost:5000/api/v1/merchants/register \
     -H "Content-Type: application/json" \
     -d '{"name":"Demo Ecommerce","email":"[email protected]","password":"password123"}'
   

4. 使用商户 API 密钥从电商应用向用户的 Vulnbank 卡发起扣款：