O OWASP Juice Shop é um projeto open-source da OWASP Foundation, criado para ensinar segurança de aplicações web de forma prática e divertida. Diferente de outros ambientes vulneráveis, ele simula uma loja online moderna com funcionalidades reais, como busca, login, avaliações e pagamento, onde cada falha de segurança é apresentada como um desafio (ou "lab"). Este curso é uma porta de entrada para entender vulnerabilidades comuns do OWASP Top 10, como injeção, autenticação quebrada e exposição de dados sensíveis.

Nesta aula, você vai explorar os principais aspectos do Juice Shop: como os labs estão organizados, como resolver os desafios de forma sistemática, como corrigir as vulnerabilidades encontradas e como aplicar boas práticas de segurança no desenvolvimento. Ao final, você terá uma visão completa de como usar o Juice Shop para aprimorar suas habilidades em segurança ofensiva e defensiva.

Labs

Os labs do Juice Shop são desafios categorizados por dificuldade (fácil, médio, difícil) e por tipo de vulnerabilidade. Cada lab representa uma vulnerabilidade específica ou uma combinação delas, e o objetivo é explorar a aplicação para atingir um resultado esperado, como obter dados de outro usuário, executar código remoto ou alterar o estoque. A plataforma mantém um sistema de pontuação e progresso, incentivando o aprendizado contínuo.

Ao abrir o Juice Shop, você encontrará um painel com o scoreboard, que lista todos os desafios. Cada desafio tem um nome sugestivo e uma descrição curta. Por exemplo, o desafio "Login Support Team" pede para você fazer login como administrador usando SQL Injection, enquanto "Confidential Document" exige acesso a um arquivo protegido. Os labs são projetados para serem resolvidos sem conhecimento prévio, mas exigem técnicas de pentest e pensamento lógico.

Exemplo de código para entender a vulnerabilidade de SQL Injection no login (apenas ilustrativo):

// Código vulnerável (em um aplicativo real)
String query = "SELECT * FROM users WHERE email = '" + email + "' AND password = '" + password + "'";
Statement stmt = connection.createStatement();
ResultSet rs = stmt.executeQuery(query);

No Juice Shop, você pode explorar o desafio de SQL Injection usando o payload ' OR 1=1-- no campo de email. Isso faz a consulta retornar o primeiro usuário, geralmente o admin.

Walkthroughs

Walkthroughs são guias passo a passo que mostram como resolver cada desafio. Eles são extremamente úteis para iniciantes, pois demonstram o raciocínio e as ferramentas utilizadas. No contexto educacional, você pode criar seus próprios walkthroughs ou seguir os existentes para entender as técnicas. A prática de documentar soluções ajuda a fixar o conhecimento e a compartilhar aprendizado.

Um walkthrough típico para o desafio de SQL Injection no login incluiria: acessar a página de login, digitar o payload no campo de email, clicar em Login e observar que você é autenticado como admin. Em seguida, você pode acessar o painel administrativo. Outro exemplo é o desafio "Error Handling", onde você precisa provocar um erro no servidor para vazar informações.

Exemplo de walkthrough para o desafio "Login Admin" (nível fácil):

1. Abra o Juice Shop e navegue até /#/login.
2. No campo de e-mail, insira: ' OR 1=1-- 
3. No campo de senha, digite qualquer coisa (ex.: x).
4. Clique em Log in.
5. Você será redirecionado para o painel do administrador.
6. Parabéns, você resolveu o desafio!

Existem também ferramentas como o OWASP ZAP ou Burp Suite que podem ser usadas para automatizar testes e facilitar a exploração. Em walkthroughs avançados, você pode usar scripts para encontrar vulnerabilidades como XSS ou quebra de autenticação.

Remediation

Remediação é o processo de corrigir as vulnerabilidades encontradas. No Juice Shop, você não corrige o código diretamente, mas pode estudar as soluções propostas na documentação e aplicar em seus próprios projetos. Entender a remediação é essencial para se tornar um desenvolvedor ou analista de segurança eficaz.

Para a vulnerabilidade de SQL Injection, a remediação envolve usar prepared statements ou consultas parametrizadas, que separam os dados do comando SQL. No Juice Shop, você pode ver exemplos de código corrigido nos tutoriais oficiais. Outra vulnerabilidade comum é a exposição de dados sensíveis, que pode ser corrigida com criptografia e controle de acesso adequado.

Exemplo de remediação para SQL Injection em Java:

// Código seguro usando PreparedStatement
String query = "SELECT * FROM users WHERE email = ? AND password = ?";
PreparedStatement pstmt = connection.prepareStatement(query);
pstmt.setString(1, email);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

Além disso, é importante implementar validação de entrada, usar ORM seguro, e aplicar o princípio do menor privilégio. A OWASP fornece guias de remediação para cada vulnerabilidade do Top 10, que são referências valiosas.

Safe practice

Safe practice se refere a hábitos e políticas de segurança que devem ser adotados durante o desenvolvimento e operação de sistemas. O Juice Shop serve como um campo de treinamento para reconhecer más práticas e aprender as boas. Algumas práticas seguras incluem: nunca confiar na entrada do usuário, usar HTTPS, implementar autenticação multifator, manter dependências atualizadas e realizar testes de segurança regulares.

No contexto do Juice Shop, você pode observar que muitas vulnerabilidades surgem da falta de validação e sanitização. Por exemplo, o desafio de XSS armazenado ocorre porque o aplicativo não sanitiza as entradas dos comentários. A prática segura seria escapar a saída e validar a entrada no servidor.

Além disso, é fundamental adotar uma política de segurança em todo o ciclo de vida do software (SSDLC). Isso inclui modelagem de ameaças, revisão de código, testes automatizados e resposta a incidentes. O Juice Shop pode ser integrado a pipelines de CI/CD para testes contínuos de segurança.

Exemplo de boa prática: usar Content Security Policy (CSP) para mitigar XSS:

// Header HTTP recomendado
Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'

Lembre-se: segurança não é um produto, mas um processo contínuo. Treinar com o Juice Shop ajuda a internalizar essa mentalidade.

Referências

Exercícios

  1. Exploração inicial: Acesse o Juice Shop e resolva o desafio "Score Board" (encontre o scoreboard). Descreva o caminho que você usou para encontrá-lo.

    2. ✓ Resposta: O scoreboard geralmente fica em /#/score-board. Uma forma comum é inspecionar o código-fonte da página inicial, onde há um comentário HTML com o link. Alternativamente, você pode usar a funcionalidade de busca e procurar por "score".
  2. SQL Injection: Resolva o desafio "Login Admin" usando SQL Injection. Qual payload você usou e por que funcionou?

    3. ✓ Resposta: Usei o payload ' OR 1=1-- no campo de e-mail. Ele funciona porque o código SQL monta a consulta concatenando strings, e o comentário -- ignora o restante da condição, fazendo a consulta retornar o primeiro usuário (admin).
  3. XSS: Execute um ataque XSS armazenado no campo de avaliação de produto. Qual script você usou e onde ele apareceu?

    4. ✓ Resposta: Um exemplo de payload é <script>alert('XSS')</script>. Ao salvar a avaliação, o script é armazenado e executado quando outro usuário visualiza a página do produto, exibindo um alerta.
  4. Broken Authentication: Encontre uma vulnerabilidade de autenticação quebrada, como a falta de proteção contra força bruta. Como você a exploraria?

    5. ✓ Resposta: O Juice Shop não possui rate limiting no login. Posso usar uma ferramenta como Burp Intruder para tentar várias senhas para o usuário admin. Por exemplo, testar senhas comuns como 'admin', 'password', etc., até obter sucesso.
  5. Remediação: Escolha uma vulnerabilidade que você encontrou e descreva como você a corrigiria em um código real.

    6. ✓ Resposta: Para SQL Injection, eu usaria prepared statements em vez de concatenar strings. Por exemplo, em Node.js com Sequelize, usaria parâmetros nomeados: User.findOne({ where: { email: email, password: password } }). Além disso, implementaria validação de entrada e usaria bcrypt para hash de senhas.

Boas Práticas e Observações Finais

Ao trabalhar com o Juice Shop, lembre-se de que ele é um ambiente de treinamento controlado. Nunca tente explorar vulnerabilidades em sistemas sem autorização. Use o Juice Shop para praticar em um ambiente legal e ético.

Algumas boas práticas incluem: documentar suas descobertas, compartilhar conhecimento com a comunidade, e sempre buscar entender a causa raiz de cada vulnerabilidade. A segurança é uma jornada contínua; mantenha-se atualizado com as novas ameaças e técnicas.

Espero que esta aula tenha sido útil. Continue praticando e explorando o Juice Shop para aprimorar suas habilidades!