sectrain9.6

O sectrain permite que os alunos comparem exemplos de aplicações web vulneráveis e corrigidas, observando como as falhas de segurança comuns se comportam. Demonstra cross-site scripting (XSS) e estouros de buffer por meio de exemplos escritos em PHP e Python, incluindo técnicas para preveni-los. Desenvolvido por Joe McManus, este programa educacional de código aberto para Linux é adequado para alunos, instrutores e desenvolvedores que examinam exemplos compactos de código.

Executar sectrain startweb abre seu modo web, enquanto sectrain stopweb desliga esse modo. Os usuários então abrem um navegador para seu host na porta 1984 e escolhem links seguros ou inseguros para comparar os resultados. Entrando na carga útil da amostra ">alert('xss'); expõe o comportamento do XSS, enquanto a entrada ou saída higienizada mostra como o problema pode ser abordado.

A lição em Python inclui pybuffbad e pybuffgood, ilustrando como uma string overlong pode quebrar o exemplo vulnerável, mas ser manuseada com segurança pelo corrigido. Por exemplo, os usuários podem executar sectrain pybuffbad abcdefghijkl e sectrain pybuffgood abcdefghijkl para ver o contraste diretamente. As demonstrações são deliberadamente pequenas e pretendem incentivar os desenvolvedores a encontrar e corrigir problemas semelhantes em seu próprio código.

A versão 9.6 atual requer Linux com snapd e roda em sistemas x86 64 (amd64). Exemplos de buffer-overflow de JavaScript, SQL injection e C++ são adições planejadas, então as lições atuais permanecem focadas em PHP e Python.