Erlik 2：一个基于Flask开发的包含大量安全漏洞的研究平台
字数 1358 2025-08-12 11:34:43

Erlik 2漏洞研究平台教学文档

1. 平台概述

Erlik 2（又称Vulnerable-Flask-App）是一个基于Flask框架开发的、包含大量安全漏洞的Web应用程序，专门用于Web安全研究和渗透测试训练。

1.1 平台特点

  • 纯Python 3开发
  • 基于Flask框架
  • 包含11种常见Web安全漏洞
  • 开源项目（GitHub托管）

2. 平台安装

2.1 环境准备

  • Python 3环境
  • pip3包管理工具
  • git版本控制工具

2.2 安装步骤

  1. 克隆项目源码：
git clone https://github.com/anil-yelken/Vulnerable-Flask-App
  1. 安装依赖：
cd Vulnerable-Flask-App
sudo pip3 install -r requirements.txt
  1. 运行平台：
python3 vulnerable-flask-app.py

3. 平台包含的漏洞类型

3.1 HTML注入漏洞

  • 允许攻击者注入恶意HTML代码
  • 可能导致页面结构被破坏或钓鱼攻击

3.2 XSS漏洞

  • 跨站脚本攻击漏洞
  • 包括反射型和存储型XSS
  • 可窃取用户会话信息

3.3 SSTI模板注入漏洞

  • 服务器端模板注入
  • 可能导致远程代码执行
  • 常见于使用模板引擎的应用

3.4 信息披露漏洞

  • 敏感信息泄露
  • 包括错误信息、调试信息、配置文件等

3.5 SQL注入漏洞

  • 传统SQL注入
  • 可能导致数据库信息泄露或破坏
  • 包括基于错误的SQL注入和盲注

3.6 命令注入漏洞

  • 系统命令注入
  • 可能导致服务器被完全控制
  • 常见于调用系统命令的功能

3.7 反序列化漏洞

  • 不安全的反序列化操作
  • 可能导致远程代码执行
  • 常见于处理用户提供的序列化数据时

3.8 暴力破解漏洞

  • 弱认证机制
  • 缺乏账户锁定机制
  • 允许尝试大量密码组合

3.9 失效的身份认证漏洞

  • 会话管理缺陷
  • 弱密码策略
  • 认证令牌问题

3.10 DoS攻击漏洞

  • 拒绝服务攻击漏洞
  • 资源耗尽型攻击
  • 可能导致服务不可用

3.11 文件上传漏洞

  • 不安全的文件上传功能
  • 可能导致恶意文件上传
  • 包括文件类型绕过、路径遍历等

4. 平台使用指南

4.1 访问方式

  • 运行后控制台会显示访问地址（如：http://10.10.10.128:8081/）
  • 将地址复制到浏览器即可访问

4.2 测试建议

  1. 使用Burp Suite或OWASP ZAP等工具进行拦截和修改请求
  2. 针对每种漏洞类型设计测试用例
  3. 记录测试过程和发现
  4. 尝试组合利用多个漏洞

4.3 安全测试工具推荐

  • Burp Suite
  • OWASP ZAP
  • sqlmap
  • Metasploit
  • Nmap

5. 学习路径建议

  1. 基础学习：先了解每种漏洞的基本原理
  2. 漏洞复现：在平台上复现每种漏洞
  3. 工具使用：结合安全工具进行自动化测试
  4. 防御研究：研究如何修复每种漏洞
  5. 组合利用：尝试多个漏洞的组合利用

6. 项目资源

  • GitHub项目地址：https://github.com/anil-yelken/Vulnerable-Flask-App
  • 相关学习资源：OWASP Top 10、Web应用安全测试指南

7. 注意事项

  1. 仅用于合法安全研究和学习目的
  2. 不要在真实生产环境中使用
  3. 建议在隔离的虚拟环境中运行
  4. 测试完成后及时关闭服务
  5. 不要将平台暴露在公共网络中

8. 扩展学习

  1. Flask框架安全机制研究
  2. Web应用防火墙(WAF)绕过技术
  3. 高级持续性威胁(APT)模拟
  4. 红队演练技术
  5. 安全编码实践

通过Erlik 2平台，安全研究人员可以全面了解Web应用常见漏洞，掌握漏洞利用技术，并学习如何防御这些安全威胁。

Erlik 2漏洞研究平台教学文档 1. 平台概述 Erlik 2（又称Vulnerable-Flask-App）是一个基于Flask框架开发的、包含大量安全漏洞的Web应用程序，专门用于Web安全研究和渗透测试训练。 1.1 平台特点 纯Python 3开发 基于Flask框架 包含11种常见Web安全漏洞 开源项目（GitHub托管） 2. 平台安装 2.1 环境准备 Python 3环境 pip3包管理工具 git版本控制工具 2.2 安装步骤 克隆项目源码： 安装依赖： 运行平台： 3. 平台包含的漏洞类型 3.1 HTML注入漏洞 允许攻击者注入恶意HTML代码 可能导致页面结构被破坏或钓鱼攻击 3.2 XSS漏洞 跨站脚本攻击漏洞 包括反射型和存储型XSS 可窃取用户会话信息 3.3 SSTI模板注入漏洞 服务器端模板注入 可能导致远程代码执行 常见于使用模板引擎的应用 3.4 信息披露漏洞 敏感信息泄露 包括错误信息、调试信息、配置文件等 3.5 SQL注入漏洞 传统SQL注入 可能导致数据库信息泄露或破坏 包括基于错误的SQL注入和盲注 3.6 命令注入漏洞 系统命令注入 可能导致服务器被完全控制 常见于调用系统命令的功能 3.7 反序列化漏洞 不安全的反序列化操作 可能导致远程代码执行 常见于处理用户提供的序列化数据时 3.8 暴力破解漏洞 弱认证机制 缺乏账户锁定机制 允许尝试大量密码组合 3.9 失效的身份认证漏洞 会话管理缺陷 弱密码策略 认证令牌问题 3.10 DoS攻击漏洞 拒绝服务攻击漏洞 资源耗尽型攻击 可能导致服务不可用 3.11 文件上传漏洞 不安全的文件上传功能 可能导致恶意文件上传 包括文件类型绕过、路径遍历等 4. 平台使用指南 4.1 访问方式 运行后控制台会显示访问地址（如：http://10.10.10.128:8081/） 将地址复制到浏览器即可访问 4.2 测试建议 使用Burp Suite或OWASP ZAP等工具进行拦截和修改请求 针对每种漏洞类型设计测试用例 记录测试过程和发现 尝试组合利用多个漏洞 4.3 安全测试工具推荐 Burp Suite OWASP ZAP sqlmap Metasploit Nmap 5. 学习路径建议 基础学习 ：先了解每种漏洞的基本原理 漏洞复现 ：在平台上复现每种漏洞 工具使用 ：结合安全工具进行自动化测试 防御研究 ：研究如何修复每种漏洞 组合利用 ：尝试多个漏洞的组合利用 6. 项目资源 GitHub项目地址：https://github.com/anil-yelken/Vulnerable-Flask-App 相关学习资源：OWASP Top 10、Web应用安全测试指南 7. 注意事项 仅用于合法安全研究和学习目的 不要在真实生产环境中使用 建议在隔离的虚拟环境中运行 测试完成后及时关闭服务 不要将平台暴露在公共网络中 8. 扩展学习 Flask框架安全机制研究 Web应用防火墙(WAF)绕过技术 高级持续性威胁(APT)模拟 红队演练技术 安全编码实践 通过Erlik 2平台，安全研究人员可以全面了解Web应用常见漏洞，掌握漏洞利用技术，并学习如何防御这些安全威胁。