OWASP Juice-Shop 初心者感想

Juice-Shop

OWASPから提供されているやられサイト。githubから取ってきて自分で建てて、そこで試せます。答えを見ながらもようやく完走したので、初心者目線で感想を書いてみます。

github.com

コンテンツ内容

今まで見つかったライブラリとかの脆弱性がみっちり再現されている、というわけではなく、サイトの実装不備であったり、公開されていないAPIを叩いてみたりといった、粗探しの仕方を練習できる？みたいな印象でした。ctfのエスパー問を解くに近い形のものでしょうか？実際のバグバウンティでもおそらくサイトの実装を予測して、調べるみたいな力が必要なのかなとやっていて思いました。

初心者へのフォロー

英語ですが、問題(チャレンジ)とその回答という形で、学習のフォローがされています。難易度別に問題が出されていて、それを解く形でサイトを探索し、解ければscore boardに記載され、、といった感じで進めていけるので、一人でも基本不自由なく学習を進めることができました。 bkimminich.gitbooks.io

終わってみて

勉強になりました。捜索の観点がわかったかと聞かれると、実際のサイトではどうなのかまだわからないので、イマイチ力が付いたかは体感しにくいです。ただ、ハンズオンで勉強できる機会はそうそう無いので、やってよかったと思います。

上のサイトでは、始める時にどの問題から着手すればいいのかわかりにくい(別の問題をあらかじめ解いておくのが望ましいものがあったりする)ので、その辺りは戸惑うかもしれません。おそらく、サイドバーpart2のこのページから順に上から解いていくのがいいかと思います。

終わりに

このサイトも面白そうと思ったので、内容が重複しそうな感じですが、時間があったらやってみようと思っています。 portswigger.net