Несколько заданий для демонстрации базовых концепций и техник SQL инъекций

Как развернуть

1. Скопировать файл .env.example в .env.

Внутри .env файла:

• в переменной SQLI_DATA_PATH задать путь, по которому будут храниться файлы базы данных приложения;
• в переменной SERVER_NAME, при необходимости, заменить имя хоста, по которому будет открываться приложение.

2. В папке secrets создать 6 файлов:

• filter_evasion_flag.secret - флаг для четвертого задания. Любая строка;
• flag.secret - флаг для финального задания. Любая строка;
• mysql_root_pass.secret - пароль mysql пользователя root. Любая строка;
• mysql_db.secret - название базы данных приложения. Любая строка;
• mysql_user.secret - имя пользователя mysql, под которым будет работать приложение. Любая строка;
• mysql_pass.secret - пароль для пользователя mysql, под которым будет работать приложение. Любая строка.

3. Если приложение разворачивается локально, не забыть добавить значение переменной SERVER_NAME в hosts.

4. Запустить приложение командой:

docker compose up -d --build

---

Особенности

По умолчанию nginx настроен на жесткое ограничение количества запросов: 1 запрос в секунду, потом 503. Если нужно поиграться с sqlmap или фазерами, стоит поменять или закомментировать это в файле: sqli.conf.template. Строки 1 и 16-18.

---

Создано в рамках подготовки к собеседованию.