sectrain9.6

sectrainは、一般的なセキュリティ上の欠陥がどのように動作するかを観察しながら、学習者が脆弱なWebアプリケーションと修正済みのWebアプリケーションの例を比較できるようにします。PHPとPythonで書かれた例を通して、クロスサイトスクリプティング（XSS）とバッファオーバーフローを実演し、それらを防止するための技術も紹介します。Joe McManusが開発したこのオープンソースのLinux教育プログラムは、コンパクトなコード例を調べる学生、講師、開発者に適しています。

sectrain startweb を実行すると Web モードが開始され、sectrain stopweb を実行するとそのモードが停止します。ユーザーはブラウザでホストのポート 1984 にアクセスし、安全なリンクまたは安全でないリンクを選択して結果を比較します。サンプルペイロード ">alert('xss'); を入力すると XSS の動作が明らかになり、サニタイズされた入力または出力によって問題への対処方法が示されます。

Python のレッスンには pybuffbad と pybuffgood が含まれており、長すぎる文字列によって脆弱な例が破壊される一方、修正された例では安全に処理されることを示しています。 たとえば、ユーザーはsectrain pybuffbad abcdefghijklとsectrain pybuffgood abcdefghijklを実行して、直接コントラストを見ることができます。 デモは意図的に小さく、開発者が自分のコードで同様の問題を見つけて修正することを奨励する意図されています。

現在の 9.6 リリースでは、x86 64 (amd64) システム上でスナップして実行する Linux が必要です。 JavaScript、SQLインジェクション、C++バッファオーバーフローの例は計画されている追加なので、現在のレッスンはPHPとPythonに集中しています。