OWASP Juice Shop: интернет-магазин, который можно легально взломать

👋 Приветствую в мире цифровой безопасности!

Хотели попробовать веб-пентест на практике? У OWASP есть ``интернет-магазин``, который специально напичкали уязвимостями. Можно искать SQL-инъекции, обходить авторизацию, копаться в API и при этом никому не мешать.

⏺OWASP Juice Shop выглядит как вполне обычный магазин с товарами, корзиной и личным кабинетом. Но внутри спрятаны десятки заданий по OWASP Top 10 и другим уязвимостям. Некоторые находятся за пару минут, над другими придётся посидеть.

⏺Поднять свой магазин можно через Docker:

docker pull bkimminich/juice-shop

docker run —rm -p 127.0.0.1:3000:3000 \
bkimminich/juice-shop

Заходим на http://localhost:3000 и начинаем исследовать приложение.

⏺Например, попробуйте зарегистрировать два аккаунта и проверить, можно ли через изменение запросов получить доступ к чужой корзине. Или откройте Burp Suite, перехватите запрос авторизации и посмотрите, какие данные отправляет приложение.

⏺За успехами можно следить через Score Board. Там собраны задания разной сложности, а найденные уязвимости отмечаются автоматически. Если совсем застряли, есть бесплатное руководство Pwning OWASP Juice Shop с подсказками и решениями.

🔥Ещё на Juice Shop удобно тренироваться с OWASP ZAP и другими сканерами. Запускаете проверку, смотрите результаты, а потом вручную ищете то, что инструмент пропустил.

🤖Бесплатный ChatGPT