かわろぐ

技術、セキュリティ、その他もろもろ

MENU

OWASP Juice Shop を VirtualBox にセットアップしてみる

今回はOWASP Juice Shop というモダンなやられアプリをローカルに構築して、CTF機能のスコアボードへアクセスするまでをまとめました。

環境

  • VirtualBox
  • Vagrant
  • OWASP Juice Shop 12.8.0

OWASP Juice Shop って?

OWASP BWAや OWASP BadStore、 Metasploitable3 などと同じく、脆弱性が作り込まれた、攻撃を練習するためのやられWebアプリです。

2021年現在も積極的にリリースがなされており、node.js で作られている最もモダンなやられアプリです。

VirtualBox にセットアップする

Githubに様々な環境へのセットアップ方法がまとまっています。今回はローカルのVirtualBoxにセットアップしたいので、Vagrantの章を見ます。

セットアップ手順はとても簡単。ソースコードをクローンして、以下のコマンドを叩くだけです。

$ git clone https://github.com/bkimminich/juice-shop.git
$ cd juice-shop
$ cd vagrant
$ vagrant up

VirtualBox の仮想マシンが起動してきたら、ブラウザで次のIPにアクセスします。

http://192.168.33.10:3000/

f:id:kawa_xxx:20210626211509p:plain

他の脆弱なやられアプリからするととてもナウい感じがしています。

Juice Shop の CTF 機能のスコアボードを探してみる

CTF機能があるようなので、それをやってみようと思います。が、どうやらまずはスコアボードを探すところから始まっているようです。

URLが http://192.168.33.10:3000/#/login このように #/hogehoge になるのでここに何らかの文字列を入れればスコアボードにたどり着けるのでは無いかと推測します。

Chrome のDevToolsにすべてのファイルを検索出来る機能があるので、それを利用してスコアボードのURLを特定出来る情報が無いか調べて見ます。まずはとりあえず boardで検索かけてみます。

f:id:kawa_xxx:20210626211519p:plain

結構ヒットしますね。ヒットしたところをざざーっと眺めていくと、path の中に score-board と言うのがありました。新規登録画面で使われる register なども周辺にあるので、おそらくこれでしょう。

と言う事でこれを #/ の後に付けてアクセスすると、スコアボードが表示されました。スコアボードを探すのもチャレンジになっていたのですね。青文字で You successfully solved a challenge: Score Board (Find the carefully hidden 'Score Board' page.)と表示されました。

f:id:kawa_xxx:20210626211533p:plain

今後はこの Juice Shop もセキュリティツールの検証に利用しつつ、このCTFも一つづつトライして行ってみたいと思います。

参考文献