DVNA：NodeJS版的Web漏洞学习程序
本文将介绍一个由Appsecco使用NodeJs开发的Web漏洞学习程序——DVNA，用于学习如何攻击OWASP Top10的漏洞以及如何编写安全的代码。DVNA是用NodeJS 编写的一个Web漏洞学习的应用程序。它可以用于识别，攻击和修复（最为重要的一件事情）NodeJS中出现的OWASP Top 10的漏洞。 http://www.4hou.com/uploads/20171126/1511702587680100.png为什么选择DVNA？虽然目前已经有几个NodeJS编写的用于学习Web漏洞的应用程序（如Juice Shop和Node Goat），并且OWASP提供了一个Web漏洞学习应用程序的目录列表，但是我们意识到这些应用程序要比安全的软件开发更适合用于学习安全评估。我们需要一个简单的NodeJs Web应用程序，通过使用这个应用程序，开发人员可以学习如何避免常见的Web漏洞。该应用程序附带了一个修复分支，其中包含应用程序中每个漏洞的修复程序示例。这可以作为修复漏洞的一个参考。因此，该应用程序提供了理解安全问题的完整视图以及解决这些安全问题的方法。学习程序提供了哪些功能？DVNA有以下几个特点：1.每个漏洞的详细概述2.演示每个漏洞的攻击场景3.学习参考内容http://www.4hou.com/uploads/20171126/1511702621519072.pngDVNA中的XSS漏洞部分它还附带了一个内容非常全面的电子书，电子书的内容如下：1.安装和设置DVNA的详细说明2.关于利用漏洞的详细说明3.易受攻击的代码片段以及相应的修复代码4.避免此类漏洞的安全开发建议5.学习参考的相关知识DVNA – 开发者安全指南http://www.4hou.com/uploads/20171126/1511702664813473.png学习指南Gitbook页面的屏幕截图开始使用DVNADVNA可以通过三种方式进行部署：1.对于开发人员，使用docker-compose可以在代码更新时自动重新加载。2.对于安全测试人员，可以使用Docker Hub的官方镜像3.对于高级用户，请完全使用手动进行设置对于开发人员1.克隆应用程序源git clone https://github.com/appsecco/dvna;cd dvna2. 创建vars.env文件，并配置所需的数据库选项，如下面的示例： MYSQL_USER = dvnaMYSQL_DATABASE = dvnaMYSQL_PASSWORD = passw0rdMYSQL_RANDOM_ROOT_PASSWORD = yes3.使用docker-compose启动应用程序和数据库docker-compose up打开http://127.0.0.1:9090/访问该应用程序并开始学习和攻击这个应用程序！对于安全测试人员1. 创建一个名为vars.env的文件，并使用所需的配置，如下面的示例： MYSQL_USER = dvnaMYSQL_DATABASE = dvnaMYSQL_PASSWORD = passw0rdMYSQL_RANDOM_ROOT_PASSWORD = yesMYSQL_HOST = mysql-dbMYSQL_PORT = 33062.启动一个MySQL容器docker run --name dvna-mysql --env-file vars.env -d mysql:5.73.使用官方镜像启动应用程序docker run --name dvna-app --env-file vars.env --link dvna-mysql:mysql-db -p 9090:9090 appsecco/dvna打开http://127.0.0.1:9090/访问该应用程序并开始学习和攻击这个应用程序！有关手动安装和设置的步骤，请参阅github上的详细说明。我在工作中一直在使用NodeJS，而且有很长一段时间了，并且我期望这是一个比较简单的项目。但是在我的知识体系中，我发现存在很多盲点，结果证明这是一个了不起的学习体验，就像我在Appsecco做的所有其他事情一样！这个应用程序代表着我个人的技术发展和经验的里程碑，我很高兴与你们分享这个成果！我希望每个使用DVNA的人都能体验到同样的学习乐趣。这是我对安全领域的一点贡献。这项工作受到了Abhisek以前的一个内部项目的启发。在开发这个应用程序的过程中，我非常感谢他和Akash的指导。如若转载，请注明原文地址： http://www.4hou.com/web/8754.html
页:
[1]