Практикум · локальная среда
Маршрут для преподавателя и слушателя: изолировать намеренно уязвимую цель, зафиксировать версию, доказать причину недостатка, предложить серверное исправление и подтвердить регрессию.
01 · Безопасный старт
OWASP Juice Shop — намеренно небезопасное приложение. Оно уместно только для локальной изолированной практики. Единственный поддерживаемый маршрут курса — start-wrapper, ownership-aware cleanup и канонический Compose-файл с закреплённым digest, loopback bind, внутренней сетью и лимитами ресурсов.
Перед запуском
--privileged.После занятия
& .\appsec-lections\lab\juice-shop\start.ps1
# Выполните только разрешённое локальное упражнение и сохраните синтетическое доказательство.
& .\appsec-lections\lab\juice-shop\stop.ps1
# Обязательный результат: CLEANUP OKСхема 14
02 · Карта из 12 лабораторных
Курс идёт от карты активов (ЛР_0) через девять практик A01–A09:2025 и историческую практику SSRF A10:2021, затем завершается безопасностью памяти вне веб-модели (ЛР_11). A10:2025 — обработка исключительных ситуаций — разбирается как современная тема, но отдельной лабораторной в этом наборе не заявлена.
| ЛР | Тема и карта OWASP/CWE | Что доказывает слушатель | Педагогический итог |
|---|---|---|---|
| ЛР_0 | Подготовительная — карта активов | Активы, точки входа, границы доверия, топ-5 критических активов | Уязвимость получает смысл только на карте активов и границ доверия. |
| ЛР_1 | A01:2025 · CWE-639/862/284 | Вертикальный и горизонтальный контроль доступа (BOLA/IDOR) | UI не заменяет серверную проверку владения объектом и полномочий. |
| ЛР_2 | A02:2025 · CWE-16/434/209 | Устаревший интерфейс, проверка файла по содержимому, обработка ошибок | Скрытый endpoint остаётся частью поверхности атаки, пока доступен. |
| ЛР_3 | A03:2025 · CWE-1104/937 | Уязвимая зависимость и артефакт разработки в публичной области | Нужны SBOM, SCA, фиксация версий и контроль provenance. |
| ЛР_4 | A04:2025 · CWE-548/347/306 | Утечка внутренних документов и приём токена без проверки подписи | Две разные первопричины: контроль доступа и криптографическая целостность. |
| ЛР_5 | A05:2025 · CWE-89/79 | SQL-инъекция и XSS как один принцип — смешение кода и данных | Защита — параметризация, контекстное кодирование и безопасные API. |
| ЛР_6 | A06:2025 · CWE-20/840/1284 | Бизнес-инвариант корзины (отрицательное количество) | Серверная доменная логика и ограничения БД важнее UI-валидации. |
| ЛР_7 | A07:2025 · CWE-521/262/307 | Слабые и дефолтные учётные данные, защита жизненного цикла учётки | Меры защищают процесс входа без превращения в массовый подбор. |
| ЛР_8 | A08:2025 · CWE-502/400/776 | Небезопасная десериализация: бомба памяти в изолированном стенде | Структурированный вход остаётся недоверенным; нужны лимиты и безопасный парсер. |
| ЛР_9 | A09:2025 · CWE-778/532/200 | Открытые метрики, секрет в клиентском коде, событие как контроль | Много логов без alerting и владельца реакции — это не мониторинг. |
| ЛР_10 | A10:2021 · CWE-918 | SSRF в трёхсервисном fixture: gateway, app и internal | Граница доверия + egress-изоляция; в 2025 SSRF не маркируется как A10. |
| ЛР_11 | Память · CWE-787/120/78 | Переполнение буфера → выполнение команды на учебном бинарнике | Первопричина — отсутствие проверки границ; hardening лишь компенсирует. |
03 · Примеры корректной профилактики
Ниже приведены безопасные выводы для обсуждения. Они не содержат атакующих payload’ов и не предназначены для действий за пределами авторизованной лаборатории.
Авторизация на сервере связывает пользователя, действие, объект и контекст. Нужен отрицательный тест: субъект A не читает и не изменяет объект субъекта B.
Allow-list алгоритмов, проверка подписи, ключа, iss, aud, exp и nbf, отрицательные тесты. Смена JWT-библиотеки сама по себе не исправляет систему.
Параметризуйте запросы, используйте безопасный шаблон/DOM API и контекстное экранирование. Кража cookie не предполагается автоматически: она зависит от HttpOnly, SameSite и модели хранения токенов.
Для учебной SSRF-топологии внешний контейнер при необходимости привязывают только к 127.0.0.1:8080:8080; внутренний сервис остаётся в приватной Docker-сети без опубликованного порта. В production нужны allow-list адресатов, DNS/IP-проверки и egress-политики.
Для C/C++ приоритетны границы буфера, безопасные API, отказ от shell для недоверенных данных и проверка длины. Далее: -fstack-protector-strong, -D_FORTIFY_SOURCE=3, PIE/RELRO/NX, sanitizers и fuzzing.
Образ, пакет, scanner и результат привязываются к версии, digest, лицензии и дате проверки. «Последний» tag не доказывает воспроизводимость.
04 · Протокол результата
Не переносите в публичный отчёт ключи, персональные данные, токены и точные маршруты атаки. Храните только достаточные, обезличенные доказательства с явно указанной учебной средой.
Схема 13
Структура, которую можно оценить
Критерии обратной связи
Полезная шкала: результат и полнота обязательных шагов; объяснение первопричины; конкретность профилактики; качество и безопасность оформления. Так слушатель переносит вывод в SSDLC, а не повторяет сценарий вслепую.
05 · Приоритеты и готовые стенды
Двенадцать работ переработаны как проверяемые задания с локальной средой, артефактом, первопричиной и regression check. Ниже — приоритет прохождения и что уже готово как отдельный стенд.
| Приоритет | Работы | Готовый артефакт |
|---|---|---|
| P0 · сначала | ЛР_0 карта активов, ЛР_1 контроль доступа, ЛР_4 утечка+JWT, ЛР_5 SQLi+XSS, ЛР_8 десериализация, ЛР_10 SSRF, ЛР_11 память | SSRF — трёхсервисный fixture (ниже); ЛР_11 — исходники уязвимой и исправленной версий у преподавателя |
| P1 · затем | ЛР_2 устаревший интерфейс, ЛР_3 цепочка поставок, ЛР_6 инвариант корзины, ЛР_7 дефолтные креды, ЛР_9 метрики и логирование | Локальный Juice Shop с закреплённым тегом или digest |
| P2 · в подготовке | Активный SVG и безопасный upload pipeline | Заготовка контейнеризованной галереи; проводится только после отдельного fixture |
Самодостаточный fixture lr-ssrf: gateway на 127.0.0.1, уязвимое app и синтетический internal в закрытой Docker‑сети internal: true. Опасный запрос создаёт сервер, а не браузер; внешних адресов нет.
Проводится только после отдельного контролируемого fixture без версионной привязки и внешнего домена. До этого — как теоретический разбор мер защиты безопасного upload pipeline.
Скачать
Пакет сочетает авторские методички обоих дней с открытым архивом: полным набором из 12 лабораторных, методическими конспектами, программой и каталогом происхождения файлов.
Двенадцать работ ЛР_0–ЛР_11: подготовка, A01–A09:2025, историческая SSRF A10:2021 и нативная память, с рубрикой на 10 баллов.
Скачать Markdown ↓A07–A10, non-web AppSec, SSDLC и ИИ с контрольными вопросами и источниками.
Скачать конспект ↓Контракт локальной среды, порядок доказательств, публикационный фильтр и рефлексия.
Скачать Markdown ↓Структура отчёта без лишнего воспроизведения эксплуатационных деталей.
Скачать Markdown ↓Разрешение, изоляция, версия среды, доказательства и очистка после практики.
Скачать Markdown ↓Официальные ссылки для OWASP, Juice Shop, Kaspersky Academy и контроля версии образа.
Скачать Markdown ↓Состав слайдов, Markdown-стенограммы, протокола, программы, учебного пакета и результатов ЛР.
Скачать каталог ↓Закреплённый digest, loopback-only порт, внутренняя сеть без egress, ограничения ресурсов и проверяемая очистка.
Открыть инструкцию →