攻陷组织的云基础设施对攻击者来说就像坐在金矿上。有时，一个简单的配置错误或Web应用程序中的漏洞，就足以让攻击者攻陷整个基础设施。由于云相对较新，许多开发者并未完全意识到威胁形势，最终部署了脆弱的云基础设施。Microsoft Azure云已成为云基础设施提供商中市场份额第二大的厂商（根据多份报告），仅次于AWS。安全专业人员有大量针对AWS的工具和易受攻击的应用程序来进行攻击/防御实践，但Azure的情况并非如此。社区可用的选项要少得多。
AzureGoat是一个在Azure上设计为易受攻击的基础设施，涵盖了最新发布的OWASP Top 10 Web应用程序安全风险（2021）以及基于App Functions、CosmosDB、Storage Accounts、Automation和Identities等服务的其他配置错误。AzureGoat模拟了真实世界的基础设施，但增加了漏洞。它包含多条横向移动路径，并侧重于黑盒方法。
AzureGoat使用IaC（Terraform）在用户的Azure账户上部署易受攻击的云基础设施。这使得用户可以完全控制代码、基础设施和环境。通过AzureGoat，用户可以学习/实践：
该项目分为多个模块，每个模块是一个独立的Web应用程序，采用不同的技术栈和开发实践。
曾在以下场合展示
该项目计划涵盖所有重要漏洞，包括OWASP TOP 10 2021以及常见的云配置错误。目前，项目包含以下漏洞/配置错误。
为简化部署过程，用户只需克隆此仓库，登录Azure CLI，然后初始化并应用Terraform文件。此工作流将部署整个基础设施并输出托管的应用程序URL。
以下是操作步骤：
步骤 1. 克隆仓库
git clone https://github.com/ine-labs/AzureGoat
步骤 2. 登录Azure CLI
az login
并按照步骤登录。
步骤 3. 创建一个名为 "azuregoat_app" 的资源组。
步骤 4. 使用Terraform部署AzureGoat
terraform init
terraform apply --auto-approve
第一个模块是一个无服务器博客应用程序，利用Azure App Functions、Storage Accounts、CosmosDB和Azure Automation。它包含多种Web应用程序漏洞，并有助于利用配置错误的Azure资源。
模块1的横向移动路径概览
Nishant Sharma, 实验室平台总监, INE [email protected]
Jeswin Mathai, 实验室平台首席架构师, INE [email protected]
Rachna Umaraniya, 云开发者, INE [email protected]
Sherin Stephen, 云软件工程师, INE [email protected]
Shantanu Kale, 云开发者, INE [email protected]
Sanjeev Mahunta, 云软件工程师, INE [email protected]
D Yashwanth Babu, 云软件工程师, INE [email protected]
攻击手册位于 attack-manuals 目录，防御手册位于 defence-manuals 目录。
模块1的漏洞利用视频：https://www.youtube.com/playlist?list=PLcIpBb4raSZGdYHKpqIu5Boc2ziga4oGY
更多详情请参考 "AzureGoat.pdf" PDF文件。此文件包含演示文稿中使用的幻灯片。
博客应用程序首页
博客应用程序登录门户
博客应用程序注册页面
博客应用程序登录后的仪表板
博客应用程序用户个人资料
modules/module-<Number>/src，可用于修改现有应用程序代码。本程序是自由软件：您可以根据自由软件基金会发布的GNU通用公共许可证第二版（或任何后续版本）的条款重新分发和/或修改它。
本程序的分发是为了希望它有用，但不提供任何担保；甚至没有隐含的适销性或特定用途的适用性担保。有关更多细节，请参阅GNU通用公共许可证。
您应该已随本程序收到一份GNU通用公共许可证的副本。如果没有，请访问 http://www.gnu.org/licenses/。