脆弱性の勉強用のやられ環境(適宜更新中)

(ほぼ)日課のQiita投稿です。
本当に毎日投稿するのは無理ゲーと気付いてしまいました。

今回はタイトル通り、WEB脆弱性を勉強する上で有用なやられ環境をリストアップしていこうと思います。
参考になるリンクも一緒に貼っておきます。
まだ自分で触った事のない環境もあるので、今後全部の環境をいじりたおしておきたい。
## 準備
kalilinuxを準備。

* [Amazon.co.jp： ハッキング・ラボのつくりかた 仮想環境におけるハッカー体験学習 eBook: IPUSIRON: Kindleストア](https://www.amazon.co.jp/%E3%83%8F%E3%83%83%E3%82%AD%E3%83%B3%E3%82%B0%E3%83%BB%E3%83%A9%E3%83%9C%E3%81%AE%E3%81%A4%E3%81%8F%E3%82%8A%E3%81%8B%E3%81%9F-%E4%BB%AE%E6%83%B3%E7%92%B0%E5%A2%83%E3%81%AB%E3%81%8A%E3%81%91%E3%82%8B%E3%83%8F%E3%83%83%E3%82%AB%E3%83%BC%E4%BD%93%E9%A8%93%E5%AD%A6%E7%BF%92-IPUSIRON-ebook/dp/B07JJKLZNW)
* [ハッキング・ラボの作り方 - Kali Linux(2020.1) VirtualBox 64-bit編 その２- - Qiita](https://qiita.com/sireline/items/5432ea6684d155e7a675)・・・2019のkaliのバージョンから、ネットワーク設定のUIが変わっている。それも含めて、ハッキングラボのトラブルシュートに役立ちます。

## やられ環境

### OWASP WebGoat 

* [WebGoatを一通りやってみる - Qiita](https://qiita.com/hanaclover/items/94aaa30fab779461a3ae)
* [WebGoatを用いたSQLインジェクション #01 - 勉強会用資料](http://y-cubed.hatenablog.com/entry/2017/06/11/174429)・・・他の脆弱性についての記事もあります。
* [OWASP WebGoat - Learn the hack - Stop the attack](https://owasp.org/www-project-webgoat/)

### Google Gruyere

* [Web アプリケーションの脆弱性に対する攻撃と防御 — Gruyere - 1.1](http://works.surgo.jp/translation/gruyere/)

### Hack the Box

やられ環境とは少し違うけど、勉強用という点でリストアップ。
こちらはまた独立した記事を書こうかな。
ペネトレーションテストのプラットフォームとなってます。
課金する事で、過去のマシンに挑戦する事が可能となっており、勉強するためには課金する方が吉。

* [どぶ素人がHack the BoxでHackerになるまでの道のり - さんぽしのBLOG](https://sanposhiho.hatenablog.com/entry/2020/06/08/172650)：時系列で具体的な入門の仕方というか攻略方法みたいで見やすい
* [Hack The Boxを始めて1つrootを取るまでのメモ - Security Index](https://security-index.info/entry/2020/06/14/134334)：rootを取るまでの行動指針が分かりやすい
* [Hack The Boxを楽しむためのKali Linuxチューニング - Qiita](https://qiita.com/v_avenger/items/c85d946ed2b6bf340a84)
* [Hack The Box - Qiita](https://qiita.com/ikkyu193/items/cc469eec8fb3195895e2)：HTBは登録もCTFみたいな感じになってるけど、この記事はその簡易WriteUpのような感じ。手詰まった時や、登録終わった後で答え合わせとして読むのがいいかも。

### TryHackMe
こちらも、ペネトレーションテストのプラットフォーム。
課金する事で、ブラウザ上から操作できる専用の攻撃用マシンが使用できたり、課金する事でのみ挑戦できるマシンもあるみたいです。(料金はだいたい月1000円くらい)

### Vulnerable By Design ~ VulnHub

脆弱性が残された仮想イメージを無料で公開しているプラットフォーム。

* [【ハッキングに挑戦】脆弱性が残された仮想イメージ公開プラットフォーム（VulnHub）で練習をする - Qiita](https://qiita.com/v_avenger/items/8accd0cecba2c8f1a923)：おすすめのイメージ,やられ環境がまとめられていて、とてもありがたい。

#### Stapler

* [Stapler: 1 ~ VulnHub](https://www.vulnhub.com/entry/stapler-1,150/)

#### Badstore

* [Badstore: 1.2.3 ~ VulnHub](https://www.vulnhub.com/entry/badstore-123,41/)
* [BadStore.netを使った脆弱性調査 - kyonta1022’s blog](https://kyonta1022.hatenablog.com/entry/2018/09/09/221327)
* [脆弱性診断練習の定番「BadStore.net」がBurp Suiteの拡張として帰ってきた – Webセキュリティの小部屋](https://www.websec-room.com/2018/08/10/3057)：Burpの拡張機能として公開されているBadstore

### DVWA

PHP/MySQL製の脆弱なWebaアプリ。
SQLiやXSS,ファイルインクルージョンなどの脆弱性のテストが可能。
詳しくは、以下のリンクを参考。

* [DVWA (Damn Vulnerable Web Application)とは？ - Web Application Security Memo](https://www.pupha.net/archives/1297/)
* [Kali LinuxでDVWAを使いSQLインジェクション体験 - Qiita](https://qiita.com/y-araki-qiita/items/131efa82c4205e83fef8)

### Hacme Casino

### OWASP Insecure

### w3af's

### XSS Challenge

### Metasploitable

#### Metasploitable2

* [【連載】VirtualBox + Kali Linuxによるハッキング実験室 第１回 ~ virtualbox・kali linuxの導入 ~ - WEBやるSIエンジニア](https://semigeek-dev.hatenablog.com/entry/2019/10/04/005642)

#### Metasploitable3

* [Metasploitable 3:攻略ノススメ - 高林の雑記ブログ](https://kakyouim.hatenablog.com/entry/2020/02/16/213616)
* [Metasploitable3の脆弱性を突いてみる その1｜r｜note](https://note.com/rsec/n/n2d0eb77c8e77)
* [Metasploitable3 & Kali Linux 導入 | ゼロから始めるペネトレーションテスト](https://pentestblog.com/metasploitable3-kali-linux-%E5%B0%8E%E5%85%A5/)

### Hacking Lab