LazyWeb - 易受攻击的Web应用程序

LazyWeb 是一个演示性Web应用程序，旨在展示常见的服务器端应用程序漏洞。每个漏洞都按其相应的难度等级进行分类，为开发者和安全爱好者提供全面的学习体验。

主要特性

• 演示Web应用程序中的真实世界漏洞。
• 涵盖从基础到高级的安全缺陷，允许用户在不同层次测试自己的技能。
• 旨在帮助安全专业人员理解漏洞的本质以及如何缓解它们。

包含的漏洞

该应用程序包含以下漏洞：

• 操作系统命令注入
• SQL注入
• XML外部实体注入(XXE)
• 不安全的直接对象引用(IDOR)
• 本地文件包含(LFI)
• 不安全的文件上传
• 任意会话分配
• 损坏的授权
• 损坏的身份验证
• .git文件夹泄露(如果直接克隆到Web根目录)

部署说明

要开始使用该项目，只需运行以下命令：

docker-compose up

这将使用Docker设置环境并启动应用程序。

重要说明

确保 templates_c 和 user/avatar 目录具有正确的所有权。部署后，运行：

sudo chown www-data:www-data templates_c user/avatar

分析文章与资源

• 通过PHAR从LFI到RCE
• Pojiiix上的分析文章

许可证

本项目采用MIT许可证 - 有关详细信息，请参阅 LICENSE 文件。