PoC BunkerWeb 1.6.17 : docker-compose sur Proxmox, déployé par Ansible
Stack BunkerWeb (scheduler, UI, MariaDB, Redis), sites de test (nginx, Juice Shop, go-httpbin), filtrage DOCKER-USER, script de tests, README et schéma d'architecture. Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
This commit is contained in:
claude BotandClaude Opus 5.5 committed
commit
099584c95c
42 files changed
+4260
No files matched your search
@@ -0,0 +1,5 @@
|
||||
credentials/
|
||||
collections/
|
||||
build/
|
||||
*.retry
|
||||
.vault_pass
|
||||
@@ -0,0 +1,25 @@
|
||||
# Raccourcis du PoC BunkerWeb
|
||||
INV ?= inventory/hosts.yml
|
||||
|
||||
.PHONY: deps deploy vms base apps waf client tests destroy creds
|
||||
|
||||
deps: ## Collections Ansible
|
||||
ansible-galaxy collection install -r requirements.yml -p ./collections
|
||||
deploy: ## Déploiement complet
|
||||
ansible-playbook -i $(INV) playbooks/site.yml
|
||||
vms:
|
||||
ansible-playbook -i $(INV) playbooks/00-proxmox.yml
|
||||
base:
|
||||
ansible-playbook -i $(INV) playbooks/10-base.yml
|
||||
apps:
|
||||
ansible-playbook -i $(INV) playbooks/20-apps.yml
|
||||
waf:
|
||||
ansible-playbook -i $(INV) playbooks/30-bunkerweb.yml
|
||||
client:
|
||||
ansible-playbook -i $(INV) playbooks/40-client.yml
|
||||
tests:
|
||||
ansible-playbook -i $(INV) playbooks/50-tests.yml
|
||||
destroy:
|
||||
ansible-playbook -i $(INV) playbooks/99-destroy.yml
|
||||
creds: ## Affiche les accès à l'UI
|
||||
@cat credentials/ACCES.txt
|
||||
@@ -0,0 +1,214 @@
|
||||
# PoC BunkerWeb sur Proxmox
|
||||
|
||||
Un environnement de test complet pour [BunkerWeb](https://www.bunkerweb.io/), le reverse proxy WAF open source basé sur nginx, déployé en docker-compose sur des VM Proxmox, de bout en bout par Ansible.
|
||||
|
||||
L'objectif : voir concrètement ce que BunkerWeb bloque, laisse passer et journalise, sur des applis qui s'y prêtent, puis rejouer les mêmes attaques sans WAF pour comparer.
|
||||
|
||||
|
||||
|
||||
## Ce que contient le PoC
|
||||
|
||||
| VM | Rôle | Conteneurs |
|
||||
|---|---|---|
|
||||
| `bw-waf` | Point d'entrée unique, ports 80/443 (TCP + UDP pour HTTP/3) | `bunkerweb`, `bw-scheduler`, `bw-ui`, `bw-db` (MariaDB 11), `bw-redis` |
|
||||
| `bw-apps` | Sites de test, joignables **uniquement** depuis le WAF (iptables `DOCKER-USER`) | `poc-www` (nginx), `poc-shop` (OWASP Juice Shop), `poc-api` (go-httpbin) |
|
||||
| `bw-client` | Poste "attaquant" avec les outils et le script de tests | `curl`, `sqlmap`, `nmap`, `ab`, `bwpoc-tests` |
|
||||
|
||||
Versions épinglées dans [`inventory/group_vars/all.yml`](inventory/group_vars/all.yml) : BunkerWeb **1.6.17**, Juice Shop v20.3.0, go-httpbin 2.26.0, nginx 1.30, Debian 13 (trixie) genericcloud.
|
||||
|
||||
Une variante **tout-en-un** (une seule VM) est fournie : [`inventory/single.yml`](inventory/single.yml). Le mode est détecté automatiquement : si WAF et applis sont le même hôte, BunkerWeb joint les applis par le réseau Docker `bw-services` et aucun port applicatif n'est publié.
|
||||
|
||||
### Les sites de test
|
||||
|
||||
Chaque site met en avant un groupe de fonctionnalités :
|
||||
|
||||
| Site | Appli | Ce qu'on y teste |
|
||||
|---|---|---|
|
||||
| `www.<domaine>` | vitrine nginx statique (page d'accueil + formulaire de contact) | antibot JavaScript, en-têtes de sécurité, redirection HTTPS, XSS via formulaire dans le navigateur |
|
||||
| `shop.<domaine>` | [OWASP Juice Shop](https://owasp.org/www-project-juice-shop/), appli volontairement vulnérable | ModSecurity + OWASP CRS 4 (SQLi, XSS, traversée), websockets, User-Agents malveillants |
|
||||
| `api.<domaine>` | [go-httpbin](https://github.com/mccutchen/go-httpbin), API qui renvoie ce qu'elle reçoit | limitation de débit, méthodes autorisées, taille max du corps, bad behavior et bannissement, règle ModSecurity maison, compression, `X-Forwarded-For` |
|
||||
| `bwui.<domaine>` | interface web de BunkerWeb | rapports d'attaques, bannissements, réglages, journaux |
|
||||
|
||||
Le domaine par défaut est `bwpoc.internal` (TLD réservé par l'ICANN pour l'usage privé). Les certificats sont auto-signés par BunkerWeb, site par site.
|
||||
|
||||
## Prérequis
|
||||
|
||||
- Un nœud Proxmox VE 8 joignable en SSH **root** depuis le poste Ansible, avec accès Internet (image Debian, images Docker, listes noires communautaires).
|
||||
- 3 IP libres sur le réseau des VM (1 en mode tout-en-un). Le playbook vérifie par ping qu'elles sont libres avant de créer les VM.
|
||||
- Sur le poste Ansible : `ansible-core` 2.16 ou plus, une paire de clés SSH.
|
||||
|
||||
```bash
|
||||
git clone git@gitea.vlab.bzh:vLab-BZH/bunkerwebpoc.git && cd bunkerwebpoc
|
||||
make deps # installe community.docker et ansible.posix dans ./collections
|
||||
```
|
||||
|
||||
## Configuration
|
||||
|
||||
Tout ce qui dépend de votre infra est marqué `A ADAPTER` :
|
||||
|
||||
1. [`inventory/hosts.yml`](inventory/hosts.yml) : IP du nœud Proxmox, IP et VMID des 3 VM, CPU, RAM, disque.
|
||||
2. [`inventory/group_vars/all.yml`](inventory/group_vars/all.yml) : domaine, passerelle, DNS, stockage Proxmox, pont, VLAN, clé SSH publique.
|
||||
3. [`inventory/group_vars/bunkerweb.yml`](inventory/group_vars/bunkerweb.yml) : les réglages BunkerWeb, globaux et par site. C'est le fichier à modifier pour jouer avec les fonctionnalités.
|
||||
|
||||
Les mots de passe (MariaDB, Redis, admin de l'UI) sont générés au premier lancement dans `credentials/` côté poste Ansible (ignoré par git). Pour les mettre sous `ansible-vault`, remplacez les `lookup('password')` de `bunkerweb.yml` par vos variables chiffrées.
|
||||
|
||||
## Déploiement
|
||||
|
||||
```bash
|
||||
make deploy # = ansible-playbook playbooks/site.yml
|
||||
```
|
||||
|
||||
| Étape | Playbook | Ce qu'elle fait |
|
||||
|---|---|---|
|
||||
| 1 | `00-proxmox.yml` | télécharge l'image Debian 13 genericcloud, crée le modèle cloud-init (VMID 9100), clone les VM, injecte IP et clé SSH, agrandit les disques, démarre |
|
||||
| 2 | `10-base.yml` | paquets de base, agent QEMU, résolution locale des noms du PoC vers le WAF, Docker CE depuis le dépôt officiel |
|
||||
| 3 | `20-apps.yml` | stack des applis, filtrage `DOCKER-USER` (mode split) |
|
||||
| 4 | `30-bunkerweb.yml` | stack BunkerWeb, attente qu'`api` réponde au travers du WAF, écriture de `credentials/ACCES.txt` |
|
||||
| 5 | `40-client.yml` | outils d'attaque et script de tests sur `bw-client` |
|
||||
|
||||
Vous avez déjà vos VM (Debian 12 ou 13, accès SSH avec sudo) ? Renseignez-les dans l'inventaire et sautez l'étape 1 : `make base apps waf client`.
|
||||
|
||||
Pour relire les fichiers compose générés sans rien déployer :
|
||||
|
||||
```bash
|
||||
ansible-playbook playbooks/render.yml # écrit build/split/... ou build/single/...
|
||||
```
|
||||
|
||||
Un exemple de rendu (secrets remplacés par `CHANGEME`) est versionné dans [`examples/split/`](examples/split/) (`bunkerweb.compose.yml`, `apps.compose.yml`, `bwpoc-firewall.sh`).
|
||||
|
||||
### Accéder aux sites depuis votre poste
|
||||
|
||||
Les VM du PoC résolvent déjà les noms (bloc dans `/etc/hosts`). Sur votre poste, ajoutez la ligne suivante à `/etc/hosts`, ou déclarez les enregistrements dans votre DNS de labo :
|
||||
|
||||
```
|
||||
192.168.200.61 www.bwpoc.internal shop.bwpoc.internal api.bwpoc.internal bwui.bwpoc.internal
|
||||
```
|
||||
|
||||
Puis ouvrez `https://bwui.bwpoc.internal/` (certificat auto-signé à accepter). Identifiants : `make creds`.
|
||||
|
||||
## Comment BunkerWeb est configuré ici
|
||||
|
||||
Intégration **Docker** officielle (pas l'autoconf) : toute la configuration est portée par les variables d'environnement du `bw-scheduler`, qui génère la configuration nginx et la pousse à l'instance `bunkerweb` par son API (réseau `bw-universe` 10.20.30.0/24, seul autorisé par `API_WHITELIST_IP`). Ce choix permet de protéger des backends situés sur une autre VM, ce que les labels de l'autoconf ne savent pas faire.
|
||||
|
||||
`MULTISITE=yes` : chaque réglage peut être préfixé par le nom du site (`api.bwpoc.internal_LIMIT_REQ_RATE=5r/s`). Dans Ansible, il suffit de remplir le dictionnaire `bw_sites` :
|
||||
|
||||
```yaml
|
||||
bw_sites:
|
||||
api:
|
||||
upstream: api # clé de apps_ports, ou URL complète
|
||||
settings:
|
||||
ALLOWED_METHODS: "GET|POST|HEAD"
|
||||
MAX_CLIENT_SIZE: "1m"
|
||||
LIMIT_REQ_RATE: "5r/s"
|
||||
custom_confs: # devient api.<domaine>_CUSTOM_CONF_MODSEC_poc-rule
|
||||
MODSEC_poc-rule: >-
|
||||
SecRule ARGS:poc "@streq attack" "id:10001,phase:2,deny,status:403,log,msg:'PoC'"
|
||||
```
|
||||
|
||||
Les réglages posés par variables d'environnement apparaissent dans l'UI en lecture seule (méthode `scheduler`). Les modifications faites dans l'UI sont stockées en base et s'ajoutent par-dessus.
|
||||
|
||||
Redis est activé (`USE_REDIS=yes`) : bans, sessions et compteurs sont partagés, ce qui prépare l'ajout d'une seconde instance `bunkerweb` derrière un VIP (keepalived) sans changer le reste.
|
||||
|
||||
## Tester les fonctionnalités
|
||||
|
||||
Depuis `bw-client` (ou n'importe quel poste avec `curl` et `jq`, le script utilise `--resolve` et n'a pas besoin de DNS) :
|
||||
|
||||
```bash
|
||||
make tests # depuis le poste Ansible
|
||||
ssh debian@192.168.200.63 bwpoc-tests # ou directement sur le client
|
||||
```
|
||||
|
||||
Le script enchaîne une vingtaine de contrôles et affiche `OK`, `KO` ou `INFO` :
|
||||
|
||||
| Fonctionnalité | Réglage | Requête | Attendu |
|
||||
|---|---|---|---|
|
||||
| HTTPS forcé | `AUTO_REDIRECT_HTTP_TO_HTTPS` | `http://api/get` | 301 vers https |
|
||||
| Serveur par défaut fermé | `DISABLE_DEFAULT_SERVER` | Host inconnu | connexion fermée (444) |
|
||||
| En-têtes de sécurité | `STRICT_TRANSPORT_SECURITY`, `CONTENT_SECURITY_POLICY`... | `api/get` | en-têtes présents, `Server` masqué |
|
||||
| Proxy transparent | `USE_REVERSE_PROXY` | `api/headers` | le backend voit `X-Forwarded-For` |
|
||||
| Compression | `USE_GZIP`, `USE_BROTLI` | `api/html` | `Content-Encoding: br` ou `gzip` |
|
||||
| Antibot | `USE_ANTIBOT=javascript` | `www/` en curl | redirection vers `/challenge` |
|
||||
| WAF SQLi | ModSecurity + CRS 4 | `shop/rest/products/search?q=')) OR 1=1--` | 403 |
|
||||
| WAF XSS | idem | `shop/?q=<script>alert(1)</script>` | 403 |
|
||||
| WAF traversée | idem | `shop/?file=../../../../etc/passwd` | 403 |
|
||||
| WAF injection de commande | idem | `api/get?cmd=;cat /etc/passwd` | 403 |
|
||||
| Règle maison | `CUSTOM_CONF_MODSEC` | `api/get?poc=attack` | 403 |
|
||||
| User-Agent maison | `BLACKLIST_USER_AGENT` | `-A PoC-EvilBot` | 403 |
|
||||
| User-Agent communautaire | `BLACKLIST_COMMUNITY_LISTS` | `-A sqlmap/1.8` | 403 (info : dépend du téléchargement de la liste) |
|
||||
| Méthodes | `ALLOWED_METHODS` | `PUT api/put` | 405 |
|
||||
| Taille du corps | `MAX_CLIENT_SIZE=1m` | POST de 2 Mo | 413 |
|
||||
| Limitation de débit | `LIMIT_REQ_RATE=5r/s` | 40 requêtes en parallèle | une partie en 429 |
|
||||
| Bad behavior | `BAD_BEHAVIOR_THRESHOLD=10` en 1 min | 12 × `/status/404` | IP bannie (403) sur `api` seulement |
|
||||
|
||||
Les derniers tests **bannissent volontairement votre IP** du site `api` pendant 5 minutes (`bw_ban_time`). Pour lever le ban : menu *Bans* de l'UI, ou sur `bw-waf` :
|
||||
|
||||
```bash
|
||||
docker exec bw-scheduler bwcli unban 192.168.200.63
|
||||
```
|
||||
|
||||
### Avec et sans WAF
|
||||
|
||||
Pour mesurer l'apport du WAF, autorisez le client à joindre les applis en direct, puis rejouez les attaques :
|
||||
|
||||
```yaml
|
||||
# inventory/group_vars/all.yml
|
||||
apps_direct_access_sources: [192.168.200.63]
|
||||
```
|
||||
|
||||
```bash
|
||||
make apps
|
||||
ssh debian@192.168.200.63 bwpoc-tests --direct
|
||||
```
|
||||
|
||||
La SQLi de Juice Shop renvoie alors la liste complète des produits (200) au lieu d'un 403, et le `PUT` passe.
|
||||
|
||||
### Aller plus loin à la main
|
||||
|
||||
- **sqlmap** contre Juice Shop, d'abord avec son User-Agent par défaut (bloqué par la liste communautaire), puis avec `--random-agent` pour voir le CRS prendre le relais :
|
||||
`sqlmap -u "https://shop.bwpoc.internal/rest/products/search?q=test" --random-agent --batch`
|
||||
- **Antibot** dans le navigateur : passez `www` en `captcha` ou `cookie` dans `bunkerweb.yml`, relancez `make waf`.
|
||||
- **Faux positifs** : naviguez dans Juice Shop (connexion, panier, avis). Ce que le CRS bloque à tort apparaît dans l'UI (*Reports*) avec l'ID de règle ; on l'exclut par un `custom_confs` de type `MODSEC_CRS` (exemple : `SecRuleRemoveById 942100`).
|
||||
- **Mode détection seule** : `MODSECURITY_SEC_RULE_ENGINE: "DetectionOnly"` sur un site, pour observer avant de bloquer, comme on le ferait en production.
|
||||
- **Journaux** : `docker logs -f bunkerweb` sur `bw-waf`, et l'audit ModSecurity dans `/var/log/bunkerweb/modsec_audit.log` du conteneur.
|
||||
|
||||
## Exploitation
|
||||
|
||||
```bash
|
||||
make waf # réapplique la conf BunkerWeb après modification de bunkerweb.yml
|
||||
make destroy # supprime les VM (confirmation demandée), modèle conservé
|
||||
ansible-playbook playbooks/99-destroy.yml -e destroy_template=true # supprime aussi le modèle
|
||||
```
|
||||
|
||||
Sur `bw-waf`, la stack vit dans `/opt/bwpoc/bunkerweb` (`docker compose ps`, `logs`, `pull`...). Sur `bw-apps`, dans `/opt/bwpoc/apps`.
|
||||
|
||||
## Limites assumées du PoC
|
||||
|
||||
- Certificats auto-signés : pour du Let's Encrypt en labo fermé, passer par le challenge DNS (`AUTO_LETS_ENCRYPT`, `LETS_ENCRYPT_CHALLENGE=dns`) avec votre fournisseur DNS.
|
||||
- Une seule instance BunkerWeb : pas de haute disponibilité, Redis est là pour la suite.
|
||||
- Les fonctions PRO de BunkerWeb (anti DDoS, monitoring Prometheus, cache, rapports) ne sont pas couvertes.
|
||||
- Le géoblocage (`BLACKLIST_COUNTRY`) et les DNSBL ne se testent pas depuis des IP privées.
|
||||
|
||||
## Arborescence
|
||||
|
||||
```
|
||||
inventory/ hosts.yml (3 VM), single.yml (tout-en-un), group_vars/
|
||||
playbooks/ 00 à 50 + site.yml, render.yml, 99-destroy.yml
|
||||
roles/
|
||||
proxmox_template/ modèle Debian 13 cloud-init via qm
|
||||
proxmox_vm/ clonage, cloud-init, démarrage
|
||||
common/ paquets, agent QEMU, /etc/hosts
|
||||
docker/ Docker CE + compose (dépôt officiel)
|
||||
apps/ compose des applis, vitrine, filtrage DOCKER-USER
|
||||
bunkerweb/ compose BunkerWeb (template Jinja)
|
||||
client/ outils et script de tests
|
||||
tests/bwpoc-tests.sh batterie de tests fonctionnels
|
||||
examples/split/ compose générés, pour lecture
|
||||
docs/ schéma d'architecture (.excalidraw et .png)
|
||||
```
|
||||
|
||||
## Références
|
||||
|
||||
- Documentation BunkerWeb : <https://docs.bunkerweb.io/latest/>
|
||||
- Fichiers d'intégration officiels (docker, MariaDB, UI) : <https://github.com/bunkerity/bunkerweb/tree/v1.6.17/misc/integrations>
|
||||
- Liste des réglages, extraite des `plugin.json` : <https://github.com/bunkerity/bunkerweb/tree/v1.6.17/src/common/core>
|
||||
- OWASP Core Rule Set : <https://coreruleset.org/>
|
||||
+12
@@ -0,0 +1,12 @@
|
||||
[defaults]
|
||||
inventory = inventory/hosts.yml
|
||||
roles_path = roles
|
||||
collections_path = ./collections:~/.ansible/collections
|
||||
host_key_checking = False
|
||||
stdout_callback = default
|
||||
result_format = yaml
|
||||
retry_files_enabled = False
|
||||
interpreter_python = auto_silent
|
||||
|
||||
[ssh_connection]
|
||||
pipelining = True
|
||||
File diff suppressed because it is too large.
Load diff
Binary file not shown.
|
After Width: | Height: | Size: 718 KiB |
@@ -0,0 +1,41 @@
|
||||
# Ansible managed
|
||||
# Sites de test du PoC BunkerWeb, mode split
|
||||
# Ports publiés sur 192.168.200.62, filtrés par la chaîne iptables BWPOC :
|
||||
# seul le WAF (192.168.200.61) peut les joindre.
|
||||
|
||||
services:
|
||||
www:
|
||||
image: nginx:1.30-alpine
|
||||
container_name: poc-www
|
||||
restart: unless-stopped
|
||||
read_only: true
|
||||
tmpfs:
|
||||
- /var/cache/nginx
|
||||
- /run
|
||||
- /tmp
|
||||
volumes:
|
||||
- ./www:/usr/share/nginx/html:ro
|
||||
ports:
|
||||
- "192.168.200.62:8081:80"
|
||||
networks: [apps]
|
||||
|
||||
shop:
|
||||
image: bkimminich/juice-shop:v20.3.0
|
||||
container_name: poc-shop
|
||||
restart: unless-stopped
|
||||
ports:
|
||||
- "192.168.200.62:8082:3000"
|
||||
networks: [apps]
|
||||
|
||||
api:
|
||||
image: mccutchen/go-httpbin:2.26.0
|
||||
container_name: poc-api
|
||||
restart: unless-stopped
|
||||
read_only: true
|
||||
ports:
|
||||
- "192.168.200.62:8083:8080"
|
||||
networks: [apps]
|
||||
|
||||
networks:
|
||||
apps:
|
||||
name: poc-apps
|
||||
@@ -0,0 +1,155 @@
|
||||
# Ansible managed
|
||||
# Stack BunkerWeb 1.6.17 : WAF + scheduler + UI + MariaDB + Redis
|
||||
# Mode split, applis sur 192.168.200.62
|
||||
x-db-env: &db-env
|
||||
DATABASE_URI: "mariadb+pymysql://bunkerweb:CHANGEME@bw-db:3306/db"
|
||||
|
||||
x-api-env: &api-env
|
||||
API_WHITELIST_IP: "127.0.0.0/8 10.20.30.0/24"
|
||||
|
||||
services:
|
||||
bunkerweb:
|
||||
image: bunkerity/bunkerweb:1.6.17
|
||||
container_name: bunkerweb
|
||||
restart: unless-stopped
|
||||
ports:
|
||||
- "80:8080/tcp"
|
||||
- "443:8443/tcp"
|
||||
- "443:8443/udp" # HTTP/3 (QUIC)
|
||||
labels:
|
||||
- "bunkerweb.INSTANCE=yes"
|
||||
environment:
|
||||
<<: [*db-env, *api-env]
|
||||
networks:
|
||||
- bw-universe
|
||||
- bw-services
|
||||
|
||||
bw-scheduler:
|
||||
image: bunkerity/bunkerweb-scheduler:1.6.17
|
||||
container_name: bw-scheduler
|
||||
restart: unless-stopped
|
||||
depends_on:
|
||||
- bunkerweb
|
||||
- bw-db
|
||||
- bw-redis
|
||||
volumes:
|
||||
- bw-storage:/data
|
||||
environment:
|
||||
<<: [*db-env, *api-env]
|
||||
BUNKERWEB_INSTANCES: "bunkerweb"
|
||||
SERVER_NAME: "www.bwpoc.internal shop.bwpoc.internal api.bwpoc.internal bwui.bwpoc.internal"
|
||||
# --- Réglages globaux ---
|
||||
MULTISITE: "yes"
|
||||
DISABLE_DEFAULT_SERVER: "yes"
|
||||
SERVE_FILES: "no"
|
||||
GENERATE_SELF_SIGNED_SSL: "yes"
|
||||
AUTO_REDIRECT_HTTP_TO_HTTPS: "yes"
|
||||
USE_MODSECURITY: "yes"
|
||||
USE_MODSECURITY_CRS: "yes"
|
||||
MODSECURITY_CRS_VERSION: "4"
|
||||
USE_BAD_BEHAVIOR: "yes"
|
||||
BAD_BEHAVIOR_THRESHOLD: "10"
|
||||
BAD_BEHAVIOR_COUNT_TIME: "1m"
|
||||
BAD_BEHAVIOR_BAN_TIME: "5m"
|
||||
USE_BLACKLIST: "yes"
|
||||
BLACKLIST_USER_AGENT: "PoC-EvilBot"
|
||||
USE_GZIP: "yes"
|
||||
USE_BROTLI: "yes"
|
||||
USE_REDIS: "yes"
|
||||
REDIS_HOST: "bw-redis"
|
||||
REDIS_PASSWORD: "CHANGEME"
|
||||
SEND_ANONYMOUS_REPORT: "no"
|
||||
# --- www.bwpoc.internal ---
|
||||
www.bwpoc.internal_USE_REVERSE_PROXY: "yes"
|
||||
www.bwpoc.internal_REVERSE_PROXY_URL: "/"
|
||||
www.bwpoc.internal_REVERSE_PROXY_HOST: "http://192.168.200.62:8081"
|
||||
www.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=www.bwpoc.internal/"
|
||||
www.bwpoc.internal_USE_ANTIBOT: "javascript"
|
||||
www.bwpoc.internal_LIMIT_REQ_RATE: "10r/s"
|
||||
# --- shop.bwpoc.internal ---
|
||||
shop.bwpoc.internal_USE_REVERSE_PROXY: "yes"
|
||||
shop.bwpoc.internal_REVERSE_PROXY_URL: "/"
|
||||
shop.bwpoc.internal_REVERSE_PROXY_HOST: "http://192.168.200.62:8082"
|
||||
shop.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=shop.bwpoc.internal/"
|
||||
shop.bwpoc.internal_REVERSE_PROXY_WS: "yes"
|
||||
shop.bwpoc.internal_LIMIT_REQ_RATE: "30r/s"
|
||||
shop.bwpoc.internal_COOKIE_FLAGS: "* SameSite=Lax"
|
||||
# --- api.bwpoc.internal ---
|
||||
api.bwpoc.internal_USE_REVERSE_PROXY: "yes"
|
||||
api.bwpoc.internal_REVERSE_PROXY_URL: "/"
|
||||
api.bwpoc.internal_REVERSE_PROXY_HOST: "http://192.168.200.62:8083"
|
||||
api.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=api.bwpoc.internal/"
|
||||
api.bwpoc.internal_ALLOWED_METHODS: "GET|POST|HEAD"
|
||||
api.bwpoc.internal_MAX_CLIENT_SIZE: "1m"
|
||||
api.bwpoc.internal_LIMIT_REQ_RATE: "5r/s"
|
||||
api.bwpoc.internal_CUSTOM_CONF_MODSEC_poc-rule: "SecRule ARGS:poc \"@streq attack\" \"id:10001,phase:2,deny,status:403,log,msg:'PoC BunkerWeb : regle maison'\""
|
||||
# --- bwui.bwpoc.internal ---
|
||||
bwui.bwpoc.internal_USE_REVERSE_PROXY: "yes"
|
||||
bwui.bwpoc.internal_REVERSE_PROXY_URL: "/"
|
||||
bwui.bwpoc.internal_REVERSE_PROXY_HOST: "http://bw-ui:7000"
|
||||
bwui.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=bwui.bwpoc.internal/"
|
||||
bwui.bwpoc.internal_USE_TEMPLATE: "ui"
|
||||
networks:
|
||||
- bw-universe
|
||||
- bw-db
|
||||
|
||||
bw-ui:
|
||||
image: bunkerity/bunkerweb-ui:1.6.17
|
||||
container_name: bw-ui
|
||||
restart: unless-stopped
|
||||
depends_on:
|
||||
- bw-db
|
||||
volumes:
|
||||
- bw-ui-data:/data # secrets Flask, clés TOTP et Biscuit
|
||||
environment:
|
||||
<<: *db-env
|
||||
ADMIN_USERNAME: "admin"
|
||||
ADMIN_PASSWORD: "CHANGEME"
|
||||
TZ: "Europe/Paris"
|
||||
networks:
|
||||
- bw-universe
|
||||
- bw-db
|
||||
|
||||
bw-db:
|
||||
image: mariadb:11
|
||||
container_name: bw-db
|
||||
restart: unless-stopped
|
||||
command: --max-allowed-packet=67108864
|
||||
environment:
|
||||
MYSQL_RANDOM_ROOT_PASSWORD: "yes"
|
||||
MYSQL_DATABASE: "db"
|
||||
MYSQL_USER: "bunkerweb"
|
||||
MYSQL_PASSWORD: "CHANGEME"
|
||||
volumes:
|
||||
- bw-data:/var/lib/mysql
|
||||
networks:
|
||||
- bw-db
|
||||
|
||||
bw-redis:
|
||||
image: redis:8-alpine
|
||||
container_name: bw-redis
|
||||
restart: unless-stopped
|
||||
command: ["redis-server", "--requirepass", "CHANGEME", "--save", "60", "1"]
|
||||
volumes:
|
||||
- bw-redis:/data
|
||||
networks:
|
||||
- bw-universe
|
||||
|
||||
volumes:
|
||||
bw-data:
|
||||
bw-storage:
|
||||
bw-ui-data:
|
||||
bw-redis:
|
||||
|
||||
networks:
|
||||
bw-universe:
|
||||
name: bw-universe
|
||||
ipam:
|
||||
driver: default
|
||||
config:
|
||||
- subnet: 10.20.30.0/24 # seul réseau autorisé à parler à l'API BunkerWeb
|
||||
bw-services:
|
||||
name: bw-services # réseau des applis (mode single), créé par Ansible
|
||||
external: true
|
||||
bw-db:
|
||||
name: bw-db
|
||||
@@ -0,0 +1,16 @@
|
||||
#!/bin/sh
|
||||
# Ansible managed
|
||||
# N'autorise que le WAF (et les sources listées) à joindre les ports publiés
|
||||
# des applis. Les règles vont dans DOCKER-USER, consultée par Docker avant
|
||||
# ses propres règles ; --ctorigdstport filtre sur le port publié (avant DNAT).
|
||||
set -eu
|
||||
IFACE="ens18"
|
||||
PORTS="8081:8083"
|
||||
|
||||
iptables -N BWPOC 2>/dev/null || iptables -F BWPOC
|
||||
iptables -A BWPOC -s 192.168.200.61 -j RETURN
|
||||
iptables -A BWPOC -j DROP
|
||||
|
||||
RULE="-i $IFACE -p tcp -m conntrack --ctstate NEW --ctorigdstport $PORTS -j BWPOC"
|
||||
# shellcheck disable=SC2086
|
||||
iptables -C DOCKER-USER $RULE 2>/dev/null || iptables -I DOCKER-USER $RULE
|
||||
@@ -0,0 +1,62 @@
|
||||
---
|
||||
# =====================================================================
|
||||
# Variables communes du PoC BunkerWeb
|
||||
# Les valeurs marquées "A ADAPTER" dépendent de votre infra.
|
||||
# =====================================================================
|
||||
|
||||
# --- Domaine de test -------------------------------------------------
|
||||
# Les sites seront www.<domaine>, shop.<domaine>, api.<domaine>, bwui.<domaine>
|
||||
# ".internal" est réservé par l'ICANN pour l'usage privé : pas de collision possible.
|
||||
poc_domain: bwpoc.internal # A ADAPTER si vous avez une zone DNS de labo
|
||||
|
||||
# --- Réseau des VM (cloud-init) --------------------------------------
|
||||
poc_net_prefix: 24 # A ADAPTER
|
||||
poc_net_gateway: 192.168.200.1 # A ADAPTER
|
||||
poc_net_dns: [192.168.200.1] # A ADAPTER
|
||||
poc_net_searchdomain: "{{ poc_domain }}"
|
||||
|
||||
# --- Proxmox ----------------------------------------------------------
|
||||
pve_storage: local-lvm # A ADAPTER : stockage des disques VM
|
||||
pve_bridge: vmbr0 # A ADAPTER
|
||||
pve_vlan_tag: "" # vide = pas de VLAN, sinon ex. "200"
|
||||
pve_template_vmid: 9100
|
||||
pve_template_name: debian13-cloud
|
||||
pve_image_url: https://cloud.debian.org/images/cloud/trixie/latest/debian-13-genericcloud-amd64.qcow2
|
||||
pve_image_path: /var/lib/vz/template/debian-13-genericcloud-amd64.qcow2
|
||||
|
||||
# --- Accès aux VM -----------------------------------------------------
|
||||
poc_vm_user: debian
|
||||
poc_ssh_pubkey_file: "~/.ssh/id_ed25519.pub" # clé injectée par cloud-init
|
||||
|
||||
# --- Versions (épinglées) --------------------------------------------
|
||||
bunkerweb_version: "1.6.17"
|
||||
mariadb_image: "mariadb:11"
|
||||
redis_image: "redis:8-alpine"
|
||||
juiceshop_image: "bkimminich/juice-shop:v20.3.0"
|
||||
httpbin_image: "mccutchen/go-httpbin:2.26.0"
|
||||
nginx_image: "nginx:1.30-alpine"
|
||||
|
||||
# --- Arborescence sur les VM -----------------------------------------
|
||||
poc_base_dir: /opt/bwpoc
|
||||
|
||||
# --- Ports publiés par la VM applis (mode split) ---------------------
|
||||
apps_ports:
|
||||
www: 8081
|
||||
shop: 8082
|
||||
api: 8083
|
||||
|
||||
# Ports d'écoute dans les conteneurs (utilisés en mode single)
|
||||
apps_internal_ports:
|
||||
www: 80
|
||||
shop: 3000
|
||||
api: 8080
|
||||
|
||||
# Sources autorisées à joindre directement les applis, en plus du WAF.
|
||||
# Ajoutez l'IP du client pour comparer "avec / sans WAF" (voir README).
|
||||
apps_direct_access_sources: []
|
||||
|
||||
# Mode calculé : "single" si WAF et applis sont sur le même hôte.
|
||||
poc_mode: "{{ 'single' if (groups['apps'] | first) == (groups['bunkerweb'] | first) else 'split' }}"
|
||||
waf_ip: "{{ hostvars[groups['bunkerweb'] | first]['ansible_host'] }}"
|
||||
apps_ip: "{{ hostvars[groups['apps'] | first]['ansible_host'] }}"
|
||||
client_ip: "{{ hostvars[groups['client'] | first]['ansible_host'] }}"
|
||||
@@ -0,0 +1,79 @@
|
||||
---
|
||||
# =====================================================================
|
||||
# Réglages BunkerWeb du PoC
|
||||
# Chaque site met en avant un groupe de fonctionnalités (voir README).
|
||||
# Noms de paramètres vérifiés sur les plugin.json de BunkerWeb 1.6.17.
|
||||
# =====================================================================
|
||||
|
||||
# Secrets générés au premier lancement et stockés côté contrôleur
|
||||
# dans ./credentials (ignoré par git). Remplaçables par ansible-vault.
|
||||
bw_db_password: "{{ lookup('ansible.builtin.password', playbook_dir ~ '/../credentials/bw_db_password', chars=['ascii_letters', 'digits'], length=24) }}"
|
||||
bw_ui_admin_user: admin
|
||||
# La politique de l'UI impose majuscule, minuscule, chiffre et caractère spécial.
|
||||
bw_ui_admin_password: "{{ lookup('ansible.builtin.password', playbook_dir ~ '/../credentials/bw_ui_admin_password', chars=['ascii_letters', 'digits'], length=20) }}!Aa9"
|
||||
bw_redis_password: "{{ lookup('ansible.builtin.password', playbook_dir ~ '/../credentials/bw_redis_password', chars=['ascii_letters', 'digits'], length=24) }}"
|
||||
|
||||
# Bannissement court pour pouvoir rejouer les tests (défaut BunkerWeb : 1d)
|
||||
bw_ban_time: 5m
|
||||
|
||||
# Réglages globaux (contexte global ou valeurs par défaut de tous les sites)
|
||||
bw_global_settings:
|
||||
MULTISITE: "yes"
|
||||
DISABLE_DEFAULT_SERVER: "yes" # Host inconnu = connexion fermée (444)
|
||||
SERVE_FILES: "no"
|
||||
# TLS : certificats auto-signés par site (pas d'ACME en labo fermé)
|
||||
GENERATE_SELF_SIGNED_SSL: "yes"
|
||||
AUTO_REDIRECT_HTTP_TO_HTTPS: "yes"
|
||||
# WAF : ModSecurity + OWASP CRS v4 actifs partout (défaut BunkerWeb)
|
||||
USE_MODSECURITY: "yes"
|
||||
USE_MODSECURITY_CRS: "yes"
|
||||
MODSECURITY_CRS_VERSION: "4"
|
||||
# Bad behavior : 10 codes 4xx en 1 min = bannissement
|
||||
USE_BAD_BEHAVIOR: "yes"
|
||||
BAD_BEHAVIOR_THRESHOLD: "10"
|
||||
BAD_BEHAVIOR_COUNT_TIME: "1m"
|
||||
BAD_BEHAVIOR_BAN_TIME: "{{ bw_ban_time }}"
|
||||
# Listes noires : listes communautaires + un User-Agent maison, testable à coup sûr
|
||||
USE_BLACKLIST: "yes"
|
||||
BLACKLIST_USER_AGENT: "PoC-EvilBot"
|
||||
# Compression
|
||||
USE_GZIP: "yes"
|
||||
USE_BROTLI: "yes"
|
||||
# Redis : bans et sessions partagés (prêt pour ajouter une 2e instance)
|
||||
USE_REDIS: "yes"
|
||||
REDIS_HOST: "bw-redis"
|
||||
REDIS_PASSWORD: "{{ bw_redis_password }}"
|
||||
SEND_ANONYMOUS_REPORT: "no"
|
||||
|
||||
# Un dictionnaire par site. "upstream" = clé de apps_ports (ou URL complète).
|
||||
bw_sites:
|
||||
# Vitrine statique : antibot (challenge JavaScript), en-têtes de sécurité, compression
|
||||
www:
|
||||
upstream: www
|
||||
settings:
|
||||
USE_ANTIBOT: "javascript"
|
||||
LIMIT_REQ_RATE: "10r/s"
|
||||
# OWASP Juice Shop : appli volontairement vulnérable, terrain de jeu du WAF CRS
|
||||
shop:
|
||||
upstream: shop
|
||||
settings:
|
||||
REVERSE_PROXY_WS: "yes" # socket.io
|
||||
LIMIT_REQ_RATE: "30r/s" # SPA Angular, beaucoup d'assets
|
||||
COOKIE_FLAGS: "* SameSite=Lax" # l'appli lit certains cookies en JS
|
||||
# go-httpbin : API de test pour méthodes, tailles, limites, bad behavior, règle maison
|
||||
api:
|
||||
upstream: api
|
||||
settings:
|
||||
ALLOWED_METHODS: "GET|POST|HEAD"
|
||||
MAX_CLIENT_SIZE: "1m"
|
||||
LIMIT_REQ_RATE: "5r/s"
|
||||
# Règle ModSecurity maison : ?poc=attack => 403
|
||||
custom_confs:
|
||||
MODSEC_poc-rule: >-
|
||||
SecRule ARGS:poc "@streq attack"
|
||||
"id:10001,phase:2,deny,status:403,log,msg:'PoC BunkerWeb : regle maison'"
|
||||
# Interface d'administration de BunkerWeb
|
||||
bwui:
|
||||
upstream: "http://bw-ui:7000"
|
||||
settings:
|
||||
USE_TEMPLATE: "ui"
|
||||
@@ -0,0 +1,40 @@
|
||||
---
|
||||
# Inventaire du PoC BunkerWeb.
|
||||
# Mode "split" (défaut) : 3 VM distinctes (WAF, applis, client).
|
||||
# Mode "single" : voir inventory/single.yml (tout sur une seule VM).
|
||||
all:
|
||||
children:
|
||||
proxmox:
|
||||
hosts:
|
||||
pve01:
|
||||
ansible_host: 192.168.200.10 # A ADAPTER : nœud Proxmox qui héberge les VM
|
||||
ansible_user: root
|
||||
poc_vms:
|
||||
vars:
|
||||
ansible_user: debian
|
||||
ansible_become: true
|
||||
children:
|
||||
bunkerweb:
|
||||
hosts:
|
||||
bw-waf:
|
||||
ansible_host: 192.168.200.61 # A ADAPTER
|
||||
vm_id: 9101
|
||||
vm_cores: 2
|
||||
vm_memory: 4096
|
||||
vm_disk_gb: 20
|
||||
apps:
|
||||
hosts:
|
||||
bw-apps:
|
||||
ansible_host: 192.168.200.62 # A ADAPTER
|
||||
vm_id: 9102
|
||||
vm_cores: 2
|
||||
vm_memory: 4096
|
||||
vm_disk_gb: 20
|
||||
client:
|
||||
hosts:
|
||||
bw-client:
|
||||
ansible_host: 192.168.200.63 # A ADAPTER
|
||||
vm_id: 9103
|
||||
vm_cores: 1
|
||||
vm_memory: 1024
|
||||
vm_disk_gb: 10
|
||||
@@ -0,0 +1,29 @@
|
||||
---
|
||||
# Variante "tout-en-un" : WAF, applis et outils de test sur la même VM.
|
||||
# ansible-playbook -i inventory/single.yml playbooks/site.yml
|
||||
all:
|
||||
children:
|
||||
proxmox:
|
||||
hosts:
|
||||
pve01:
|
||||
ansible_host: 192.168.200.10 # A ADAPTER
|
||||
ansible_user: root
|
||||
poc_vms:
|
||||
vars:
|
||||
ansible_user: debian
|
||||
ansible_become: true
|
||||
children:
|
||||
bunkerweb:
|
||||
hosts:
|
||||
bw-poc:
|
||||
ansible_host: 192.168.200.61 # A ADAPTER
|
||||
vm_id: 9101
|
||||
vm_cores: 4
|
||||
vm_memory: 6144
|
||||
vm_disk_gb: 30
|
||||
apps:
|
||||
hosts:
|
||||
bw-poc:
|
||||
client:
|
||||
hosts:
|
||||
bw-poc:
|
||||
@@ -0,0 +1,9 @@
|
||||
---
|
||||
# Crée le modèle Debian 13 cloud-init puis clone les VM du PoC.
|
||||
# A sauter si vous fournissez vos propres VM (Debian 12/13 avec accès SSH).
|
||||
- name: Provisionner les VM sur Proxmox
|
||||
hosts: proxmox
|
||||
gather_facts: false
|
||||
roles:
|
||||
- proxmox_template
|
||||
- proxmox_vm
|
||||
@@ -0,0 +1,6 @@
|
||||
---
|
||||
- name: Socle des VM (paquets, résolution locale, Docker)
|
||||
hosts: poc_vms
|
||||
roles:
|
||||
- common
|
||||
- docker
|
||||
@@ -0,0 +1,5 @@
|
||||
---
|
||||
- name: Déployer les sites de test
|
||||
hosts: apps
|
||||
roles:
|
||||
- apps
|
||||
@@ -0,0 +1,5 @@
|
||||
---
|
||||
- name: Déployer BunkerWeb
|
||||
hosts: bunkerweb
|
||||
roles:
|
||||
- bunkerweb
|
||||
@@ -0,0 +1,5 @@
|
||||
---
|
||||
- name: Préparer le client de test
|
||||
hosts: client
|
||||
roles:
|
||||
- client
|
||||
@@ -0,0 +1,15 @@
|
||||
---
|
||||
# Lance la batterie de tests depuis le client et affiche le résultat.
|
||||
- name: Tests fonctionnels BunkerWeb
|
||||
hosts: client
|
||||
gather_facts: false
|
||||
tasks:
|
||||
- name: Exécuter bwpoc-tests
|
||||
ansible.builtin.command: "{{ poc_base_dir }}/tests/bwpoc-tests.sh"
|
||||
register: tests
|
||||
changed_when: false
|
||||
failed_when: false
|
||||
|
||||
- name: Résultat
|
||||
ansible.builtin.debug:
|
||||
msg: "{{ tests.stdout_lines }}"
|
||||
@@ -0,0 +1,33 @@
|
||||
---
|
||||
# Supprime les VM du PoC (le modèle est conservé, sauf -e destroy_template=true).
|
||||
- name: Détruire les VM du PoC
|
||||
hosts: proxmox
|
||||
gather_facts: false
|
||||
vars_prompt:
|
||||
- name: confirm
|
||||
prompt: "Taper 'detruire' pour supprimer les VM {{ groups['poc_vms'] | unique | join(', ') }}"
|
||||
private: false
|
||||
tasks:
|
||||
- name: Abandon sans confirmation
|
||||
ansible.builtin.meta: end_play
|
||||
when: confirm != 'detruire'
|
||||
|
||||
- name: Arrêter et supprimer les VM
|
||||
ansible.builtin.shell: |
|
||||
if qm status {{ hostvars[item].vm_id }} >/dev/null 2>&1; then
|
||||
qm stop {{ hostvars[item].vm_id }} --skiplock 1 || true
|
||||
qm destroy {{ hostvars[item].vm_id }} --purge 1 --destroy-unreferenced-disks 1
|
||||
echo destroyed
|
||||
fi
|
||||
register: destroy
|
||||
changed_when: "'destroyed' in destroy.stdout"
|
||||
loop: "{{ groups['poc_vms'] | unique }}"
|
||||
|
||||
- name: Supprimer le modèle
|
||||
ansible.builtin.shell: |
|
||||
if qm status {{ pve_template_vmid }} >/dev/null 2>&1; then
|
||||
qm destroy {{ pve_template_vmid }} --purge 1 && echo destroyed
|
||||
fi
|
||||
register: tpl_destroy
|
||||
changed_when: "'destroyed' in tpl_destroy.stdout"
|
||||
when: destroy_template | default(false) | bool
|
||||
@@ -0,0 +1,36 @@
|
||||
---
|
||||
# Génère les fichiers compose dans build/<mode>/ sans rien déployer,
|
||||
# pour les relire ou les utiliser à la main : ansible-playbook playbooks/render.yml
|
||||
- name: Rendu local des fichiers compose
|
||||
hosts: bunkerweb:apps
|
||||
connection: local
|
||||
gather_facts: false
|
||||
vars:
|
||||
ansible_become: false
|
||||
render_dir: "{{ playbook_dir }}/../build/{{ poc_mode }}"
|
||||
ansible_default_ipv4: { interface: ens18 }
|
||||
tasks:
|
||||
- name: Répertoires de sortie
|
||||
ansible.builtin.file:
|
||||
path: "{{ render_dir }}/{{ item }}"
|
||||
state: directory
|
||||
mode: "0755"
|
||||
loop: [bunkerweb, apps]
|
||||
run_once: true
|
||||
|
||||
- name: Compose BunkerWeb
|
||||
ansible.builtin.template:
|
||||
src: ../roles/bunkerweb/templates/compose.yml.j2
|
||||
dest: "{{ render_dir }}/bunkerweb/compose.yml"
|
||||
mode: "0600"
|
||||
when: inventory_hostname in groups['bunkerweb']
|
||||
|
||||
- name: Compose applis et filtrage
|
||||
ansible.builtin.template:
|
||||
src: "../roles/apps/templates/{{ item.src }}"
|
||||
dest: "{{ render_dir }}/apps/{{ item.dest }}"
|
||||
mode: "0644"
|
||||
loop:
|
||||
- { src: compose.yml.j2, dest: compose.yml }
|
||||
- { src: bwpoc-firewall.sh.j2, dest: bwpoc-firewall.sh }
|
||||
when: inventory_hostname in groups['apps']
|
||||
@@ -0,0 +1,12 @@
|
||||
---
|
||||
# Déploiement complet du PoC : ansible-playbook playbooks/site.yml
|
||||
- name: Proxmox
|
||||
ansible.builtin.import_playbook: 00-proxmox.yml
|
||||
- name: Socle
|
||||
ansible.builtin.import_playbook: 10-base.yml
|
||||
- name: Applis
|
||||
ansible.builtin.import_playbook: 20-apps.yml
|
||||
- name: BunkerWeb
|
||||
ansible.builtin.import_playbook: 30-bunkerweb.yml
|
||||
- name: Client
|
||||
ansible.builtin.import_playbook: 40-client.yml
|
||||
@@ -0,0 +1,5 @@
|
||||
---
|
||||
collections:
|
||||
- name: community.docker
|
||||
version: ">=3.10.0"
|
||||
- name: ansible.posix
|
||||
@@ -0,0 +1,2 @@
|
||||
---
|
||||
apps_dir: "{{ poc_base_dir }}/apps"
|
||||
@@ -0,0 +1,13 @@
|
||||
[Unit]
|
||||
Description=PoC BunkerWeb - filtrage des ports applis (DOCKER-USER)
|
||||
After=docker.service
|
||||
Requires=docker.service
|
||||
PartOf=docker.service
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
RemainAfterExit=yes
|
||||
ExecStart=/usr/local/sbin/bwpoc-firewall.sh
|
||||
|
||||
[Install]
|
||||
WantedBy=multi-user.target docker.service
|
||||
@@ -0,0 +1,6 @@
|
||||
---
|
||||
- name: Recharger le filtrage applis
|
||||
ansible.builtin.systemd_service:
|
||||
name: bwpoc-firewall.service
|
||||
state: restarted
|
||||
daemon_reload: true
|
||||
@@ -0,0 +1,68 @@
|
||||
---
|
||||
- name: Créer l'arborescence des applis
|
||||
ansible.builtin.file:
|
||||
path: "{{ item }}"
|
||||
state: directory
|
||||
mode: "0755"
|
||||
loop:
|
||||
- "{{ apps_dir }}"
|
||||
- "{{ apps_dir }}/www"
|
||||
|
||||
- name: Déposer la vitrine statique
|
||||
ansible.builtin.template:
|
||||
src: "www/{{ item }}.j2"
|
||||
dest: "{{ apps_dir }}/www/{{ item }}"
|
||||
mode: "0644"
|
||||
loop:
|
||||
- index.html
|
||||
- contact.html
|
||||
|
||||
- name: Créer le réseau partagé bw-services (mode single)
|
||||
ansible.builtin.shell: docker network inspect bw-services >/dev/null 2>&1 || { docker network create bw-services && echo created; }
|
||||
register: apps_net
|
||||
changed_when: "'created' in apps_net.stdout"
|
||||
when: poc_mode == 'single'
|
||||
|
||||
- name: Générer le compose des applis
|
||||
ansible.builtin.template:
|
||||
src: compose.yml.j2
|
||||
dest: "{{ apps_dir }}/compose.yml"
|
||||
mode: "0644"
|
||||
validate: docker compose -f %s config -q
|
||||
|
||||
- name: Démarrer les applis
|
||||
community.docker.docker_compose_v2:
|
||||
project_src: "{{ apps_dir }}"
|
||||
project_name: apps
|
||||
pull: missing
|
||||
remove_orphans: true
|
||||
state: present
|
||||
|
||||
- name: Filtrage des ports publiés (mode split)
|
||||
when: poc_mode == 'split'
|
||||
block:
|
||||
- name: Installer iptables
|
||||
ansible.builtin.apt:
|
||||
name: iptables
|
||||
state: present
|
||||
|
||||
- name: Déposer le script de filtrage
|
||||
ansible.builtin.template:
|
||||
src: bwpoc-firewall.sh.j2
|
||||
dest: /usr/local/sbin/bwpoc-firewall.sh
|
||||
mode: "0755"
|
||||
notify: Recharger le filtrage applis
|
||||
|
||||
- name: Déposer l'unité systemd
|
||||
ansible.builtin.copy:
|
||||
src: bwpoc-firewall.service
|
||||
dest: /etc/systemd/system/bwpoc-firewall.service
|
||||
mode: "0644"
|
||||
notify: Recharger le filtrage applis
|
||||
|
||||
- name: Activer le filtrage au démarrage
|
||||
ansible.builtin.systemd_service:
|
||||
name: bwpoc-firewall.service
|
||||
enabled: true
|
||||
state: started
|
||||
daemon_reload: true
|
||||
@@ -0,0 +1,18 @@
|
||||
#!/bin/sh
|
||||
# {{ ansible_managed }}
|
||||
# N'autorise que le WAF (et les sources listées) à joindre les ports publiés
|
||||
# des applis. Les règles vont dans DOCKER-USER, consultée par Docker avant
|
||||
# ses propres règles ; --ctorigdstport filtre sur le port publié (avant DNAT).
|
||||
set -eu
|
||||
IFACE="{{ ansible_default_ipv4.interface }}"
|
||||
PORTS="{{ apps_ports.values() | min }}:{{ apps_ports.values() | max }}"
|
||||
|
||||
iptables -N BWPOC 2>/dev/null || iptables -F BWPOC
|
||||
{% for src in [waf_ip] + apps_direct_access_sources %}
|
||||
iptables -A BWPOC -s {{ src }} -j RETURN
|
||||
{% endfor %}
|
||||
iptables -A BWPOC -j DROP
|
||||
|
||||
RULE="-i $IFACE -p tcp -m conntrack --ctstate NEW --ctorigdstport $PORTS -j BWPOC"
|
||||
# shellcheck disable=SC2086
|
||||
iptables -C DOCKER-USER $RULE 2>/dev/null || iptables -I DOCKER-USER $RULE
|
||||
@@ -0,0 +1,56 @@
|
||||
# {{ ansible_managed }}
|
||||
# Sites de test du PoC BunkerWeb, mode {{ poc_mode }}
|
||||
{% if poc_mode == 'split' %}
|
||||
# Ports publiés sur {{ ansible_host }}, filtrés par la chaîne iptables BWPOC :
|
||||
# seul le WAF ({{ waf_ip }}) peut les joindre.
|
||||
{% else %}
|
||||
# Aucun port publié : BunkerWeb joint les conteneurs par le réseau bw-services.
|
||||
{% endif %}
|
||||
|
||||
services:
|
||||
www:
|
||||
image: {{ nginx_image }}
|
||||
container_name: poc-www
|
||||
restart: unless-stopped
|
||||
read_only: true
|
||||
tmpfs:
|
||||
- /var/cache/nginx
|
||||
- /run
|
||||
- /tmp
|
||||
volumes:
|
||||
- ./www:/usr/share/nginx/html:ro
|
||||
{% if poc_mode == 'split' %}
|
||||
ports:
|
||||
- "{{ ansible_host }}:{{ apps_ports.www }}:80"
|
||||
{% endif %}
|
||||
networks: [apps]
|
||||
|
||||
shop:
|
||||
image: {{ juiceshop_image }}
|
||||
container_name: poc-shop
|
||||
restart: unless-stopped
|
||||
{% if poc_mode == 'split' %}
|
||||
ports:
|
||||
- "{{ ansible_host }}:{{ apps_ports.shop }}:3000"
|
||||
{% endif %}
|
||||
networks: [apps]
|
||||
|
||||
api:
|
||||
image: {{ httpbin_image }}
|
||||
container_name: poc-api
|
||||
restart: unless-stopped
|
||||
read_only: true
|
||||
{% if poc_mode == 'split' %}
|
||||
ports:
|
||||
- "{{ ansible_host }}:{{ apps_ports.api }}:8080"
|
||||
{% endif %}
|
||||
networks: [apps]
|
||||
|
||||
networks:
|
||||
apps:
|
||||
{% if poc_mode == 'single' %}
|
||||
name: bw-services
|
||||
external: true
|
||||
{% else %}
|
||||
name: poc-apps
|
||||
{% endif %}
|
||||
@@ -0,0 +1,26 @@
|
||||
<!doctype html>
|
||||
<html lang="fr">
|
||||
<head>
|
||||
<meta charset="utf-8">
|
||||
<meta name="viewport" content="width=device-width, initial-scale=1">
|
||||
<title>PoC BunkerWeb - contact</title>
|
||||
<style>
|
||||
body { font-family: system-ui, sans-serif; max-width: 40rem; margin: 2rem auto; padding: 0 1rem; }
|
||||
label, input, textarea, button { display: block; width: 100%; margin-bottom: .8rem; }
|
||||
</style>
|
||||
</head>
|
||||
<body>
|
||||
<h1>Contact</h1>
|
||||
<p>Formulaire factice envoyé en GET : la vitrine est statique, c'est BunkerWeb qui
|
||||
inspecte les paramètres. Essayez un message contenant
|
||||
<code><script>alert(1)</script></code> ou <code>' OR 1=1 --</code>.</p>
|
||||
<form method="get" action="contact.html">
|
||||
<label for="nom">Nom</label>
|
||||
<input id="nom" name="nom">
|
||||
<label for="message">Message</label>
|
||||
<textarea id="message" name="message" rows="5"></textarea>
|
||||
<button type="submit">Envoyer</button>
|
||||
</form>
|
||||
<p><a href="index.html">Retour</a></p>
|
||||
</body>
|
||||
</html>
|
||||
@@ -0,0 +1,36 @@
|
||||
<!doctype html>
|
||||
<html lang="fr">
|
||||
<head>
|
||||
<meta charset="utf-8">
|
||||
<meta name="viewport" content="width=device-width, initial-scale=1">
|
||||
<title>PoC BunkerWeb - vitrine</title>
|
||||
<style>
|
||||
body { font-family: system-ui, sans-serif; max-width: 52rem; margin: 2rem auto; padding: 0 1rem; line-height: 1.5; color: #222; }
|
||||
h1 { color: #0b7a75; }
|
||||
code { background: #f2f2f2; padding: .1rem .3rem; border-radius: 3px; }
|
||||
table { border-collapse: collapse; width: 100%; }
|
||||
td, th { border: 1px solid #ddd; padding: .4rem .6rem; text-align: left; }
|
||||
</style>
|
||||
</head>
|
||||
<body>
|
||||
<h1>PoC BunkerWeb</h1>
|
||||
<p>Vous voyez cette page : vous avez passé le <strong>challenge antibot JavaScript</strong>
|
||||
de BunkerWeb. Un <code>curl</code> sur cette même URL reste bloqué sur <code>/challenge</code>.</p>
|
||||
|
||||
<h2>Sites du PoC</h2>
|
||||
<table>
|
||||
<tr><th>Site</th><th>Application</th><th>Fonctionnalités mises en avant</th></tr>
|
||||
<tr><td><a href="https://www.{{ poc_domain }}/">www</a></td><td>nginx statique</td><td>antibot, en-têtes de sécurité, HTTPS forcé</td></tr>
|
||||
<tr><td><a href="https://shop.{{ poc_domain }}/">shop</a></td><td>OWASP Juice Shop</td><td>ModSecurity + OWASP CRS 4, websockets, User-Agents malveillants</td></tr>
|
||||
<tr><td><a href="https://api.{{ poc_domain }}/get">api</a></td><td>go-httpbin</td><td>limitation de débit, méthodes, taille max, bad behavior, règle ModSecurity maison</td></tr>
|
||||
<tr><td><a href="https://bwui.{{ poc_domain }}/">bwui</a></td><td>UI BunkerWeb</td><td>rapports, bannissements, réglages</td></tr>
|
||||
</table>
|
||||
|
||||
<h2>Essais rapides dans le navigateur</h2>
|
||||
<ul>
|
||||
<li><a href="contact.html">Formulaire de contact</a> : saisissez <code><script>alert(1)</script></code> et envoyez.</li>
|
||||
<li><a href="/?file=../../../../etc/passwd">Traversée de répertoire</a> : réponse 403 attendue.</li>
|
||||
</ul>
|
||||
<p><small>Servi par {{ nginx_image }} derrière BunkerWeb {{ bunkerweb_version }}.</small></p>
|
||||
</body>
|
||||
</html>
|
||||
@@ -0,0 +1,2 @@
|
||||
---
|
||||
bw_dir: "{{ poc_base_dir }}/bunkerweb"
|
||||
@@ -0,0 +1,64 @@
|
||||
---
|
||||
- name: Créer le répertoire de la stack BunkerWeb
|
||||
ansible.builtin.file:
|
||||
path: "{{ bw_dir }}"
|
||||
state: directory
|
||||
owner: root
|
||||
group: root
|
||||
mode: "0750"
|
||||
|
||||
- name: Créer le réseau partagé bw-services
|
||||
ansible.builtin.shell: docker network inspect bw-services >/dev/null 2>&1 || { docker network create bw-services && echo created; }
|
||||
register: bw_net
|
||||
changed_when: "'created' in bw_net.stdout"
|
||||
|
||||
- name: Générer le compose BunkerWeb
|
||||
ansible.builtin.template:
|
||||
src: compose.yml.j2
|
||||
dest: "{{ bw_dir }}/compose.yml"
|
||||
owner: root
|
||||
group: root
|
||||
mode: "0600" # contient les secrets
|
||||
validate: docker compose -f %s config -q
|
||||
|
||||
- name: Démarrer la stack BunkerWeb
|
||||
community.docker.docker_compose_v2:
|
||||
project_src: "{{ bw_dir }}"
|
||||
project_name: bunkerweb
|
||||
pull: missing
|
||||
remove_orphans: true
|
||||
state: present
|
||||
register: bw_compose
|
||||
|
||||
- name: Attendre que BunkerWeb réponde sur 443
|
||||
ansible.builtin.wait_for:
|
||||
host: "{{ ansible_host }}"
|
||||
port: 443
|
||||
timeout: 300
|
||||
|
||||
- name: Attendre que le site api réponde au travers du WAF
|
||||
ansible.builtin.uri:
|
||||
url: "https://{{ ansible_host }}/get"
|
||||
headers:
|
||||
Host: "api.{{ poc_domain }}"
|
||||
validate_certs: false
|
||||
status_code: 200
|
||||
register: bw_probe
|
||||
until: bw_probe.status == 200
|
||||
retries: 30
|
||||
delay: 10
|
||||
|
||||
- name: Écrire le récapitulatif des accès côté contrôleur (credentials/ACCES.txt)
|
||||
ansible.builtin.copy:
|
||||
dest: "{{ playbook_dir }}/../credentials/ACCES.txt"
|
||||
mode: "0600"
|
||||
content: |
|
||||
UI BunkerWeb : https://bwui.{{ poc_domain }}/ (WAF {{ ansible_host }})
|
||||
Identifiant : {{ bw_ui_admin_user }}
|
||||
Mot de passe : {{ bw_ui_admin_password }}
|
||||
delegate_to: localhost
|
||||
become: false
|
||||
|
||||
- name: Rappel des accès
|
||||
ansible.builtin.debug:
|
||||
msg: "UI BunkerWeb : https://bwui.{{ poc_domain }}/ , identifiants dans credentials/ACCES.txt"
|
||||
@@ -0,0 +1,133 @@
|
||||
# {{ ansible_managed }}
|
||||
# Stack BunkerWeb {{ bunkerweb_version }} : WAF + scheduler + UI + MariaDB + Redis
|
||||
# Mode {{ poc_mode }}{% if poc_mode == 'split' %}, applis sur {{ apps_ip }}{% endif %}
|
||||
|
||||
{% macro upstream(name, site) -%}
|
||||
{%- if site.upstream is match('^https?://') -%}
|
||||
{{ site.upstream }}
|
||||
{%- elif poc_mode == 'single' -%}
|
||||
http://poc-{{ site.upstream }}:{{ apps_internal_ports[site.upstream] }}
|
||||
{%- else -%}
|
||||
http://{{ apps_ip }}:{{ apps_ports[site.upstream] }}
|
||||
{%- endif -%}
|
||||
{%- endmacro %}
|
||||
{% macro val(v) %}{{ (v | string | replace('$', '$$')) | to_json }}{% endmacro %}
|
||||
x-db-env: &db-env
|
||||
DATABASE_URI: {{ val('mariadb+pymysql://bunkerweb:' ~ bw_db_password ~ '@bw-db:3306/db') }}
|
||||
|
||||
x-api-env: &api-env
|
||||
API_WHITELIST_IP: "127.0.0.0/8 10.20.30.0/24"
|
||||
|
||||
services:
|
||||
bunkerweb:
|
||||
image: bunkerity/bunkerweb:{{ bunkerweb_version }}
|
||||
container_name: bunkerweb
|
||||
restart: unless-stopped
|
||||
ports:
|
||||
- "80:8080/tcp"
|
||||
- "443:8443/tcp"
|
||||
- "443:8443/udp" # HTTP/3 (QUIC)
|
||||
labels:
|
||||
- "bunkerweb.INSTANCE=yes"
|
||||
environment:
|
||||
<<: [*db-env, *api-env]
|
||||
networks:
|
||||
- bw-universe
|
||||
- bw-services
|
||||
|
||||
bw-scheduler:
|
||||
image: bunkerity/bunkerweb-scheduler:{{ bunkerweb_version }}
|
||||
container_name: bw-scheduler
|
||||
restart: unless-stopped
|
||||
depends_on:
|
||||
- bunkerweb
|
||||
- bw-db
|
||||
- bw-redis
|
||||
volumes:
|
||||
- bw-storage:/data
|
||||
environment:
|
||||
<<: [*db-env, *api-env]
|
||||
BUNKERWEB_INSTANCES: "bunkerweb"
|
||||
SERVER_NAME: {{ val(bw_sites.keys() | map('regex_replace', '$', '.' ~ poc_domain) | join(' ')) }}
|
||||
# --- Réglages globaux ---
|
||||
{% for k, v in bw_global_settings.items() %}
|
||||
{{ k }}: {{ val(v) }}
|
||||
{% endfor %}
|
||||
{% for name, site in bw_sites.items() %}
|
||||
{% set fqdn = name ~ '.' ~ poc_domain %}
|
||||
# --- {{ fqdn }} ---
|
||||
{{ fqdn }}_USE_REVERSE_PROXY: "yes"
|
||||
{{ fqdn }}_REVERSE_PROXY_URL: "/"
|
||||
{{ fqdn }}_REVERSE_PROXY_HOST: {{ val(upstream(name, site)) }}
|
||||
{{ fqdn }}_SELF_SIGNED_SSL_SUBJ: {{ val('/CN=' ~ fqdn ~ '/') }}
|
||||
{% for k, v in (site.settings | default({})).items() %}
|
||||
{{ fqdn }}_{{ k }}: {{ val(v) }}
|
||||
{% endfor %}
|
||||
{% for k, v in (site.custom_confs | default({})).items() %}
|
||||
{{ fqdn }}_CUSTOM_CONF_{{ k }}: {{ val(v) }}
|
||||
{% endfor %}
|
||||
{% endfor %}
|
||||
networks:
|
||||
- bw-universe
|
||||
- bw-db
|
||||
|
||||
bw-ui:
|
||||
image: bunkerity/bunkerweb-ui:{{ bunkerweb_version }}
|
||||
container_name: bw-ui
|
||||
restart: unless-stopped
|
||||
depends_on:
|
||||
- bw-db
|
||||
volumes:
|
||||
- bw-ui-data:/data # secrets Flask, clés TOTP et Biscuit
|
||||
environment:
|
||||
<<: *db-env
|
||||
ADMIN_USERNAME: {{ val(bw_ui_admin_user) }}
|
||||
ADMIN_PASSWORD: {{ val(bw_ui_admin_password) }}
|
||||
TZ: "Europe/Paris"
|
||||
networks:
|
||||
- bw-universe
|
||||
- bw-db
|
||||
|
||||
bw-db:
|
||||
image: {{ mariadb_image }}
|
||||
container_name: bw-db
|
||||
restart: unless-stopped
|
||||
command: --max-allowed-packet=67108864
|
||||
environment:
|
||||
MYSQL_RANDOM_ROOT_PASSWORD: "yes"
|
||||
MYSQL_DATABASE: "db"
|
||||
MYSQL_USER: "bunkerweb"
|
||||
MYSQL_PASSWORD: {{ val(bw_db_password) }}
|
||||
volumes:
|
||||
- bw-data:/var/lib/mysql
|
||||
networks:
|
||||
- bw-db
|
||||
|
||||
bw-redis:
|
||||
image: {{ redis_image }}
|
||||
container_name: bw-redis
|
||||
restart: unless-stopped
|
||||
command: ["redis-server", "--requirepass", {{ val(bw_redis_password) }}, "--save", "60", "1"]
|
||||
volumes:
|
||||
- bw-redis:/data
|
||||
networks:
|
||||
- bw-universe
|
||||
|
||||
volumes:
|
||||
bw-data:
|
||||
bw-storage:
|
||||
bw-ui-data:
|
||||
bw-redis:
|
||||
|
||||
networks:
|
||||
bw-universe:
|
||||
name: bw-universe
|
||||
ipam:
|
||||
driver: default
|
||||
config:
|
||||
- subnet: 10.20.30.0/24 # seul réseau autorisé à parler à l'API BunkerWeb
|
||||
bw-services:
|
||||
name: bw-services # réseau des applis (mode single), créé par Ansible
|
||||
external: true
|
||||
bw-db:
|
||||
name: bw-db
|
||||
@@ -0,0 +1,44 @@
|
||||
---
|
||||
- name: Installer les outils de test
|
||||
ansible.builtin.apt:
|
||||
name:
|
||||
- curl
|
||||
- jq
|
||||
- sqlmap
|
||||
- nmap
|
||||
- apache2-utils # ab
|
||||
- dnsutils
|
||||
state: present
|
||||
update_cache: true
|
||||
cache_valid_time: 3600
|
||||
|
||||
- name: Créer le répertoire des tests
|
||||
ansible.builtin.file:
|
||||
path: "{{ poc_base_dir }}/tests"
|
||||
state: directory
|
||||
mode: "0755"
|
||||
|
||||
- name: Déposer le script de tests
|
||||
ansible.builtin.copy:
|
||||
src: "{{ playbook_dir }}/../tests/bwpoc-tests.sh"
|
||||
dest: "{{ poc_base_dir }}/tests/bwpoc-tests.sh"
|
||||
mode: "0755"
|
||||
|
||||
- name: Déposer la configuration des tests
|
||||
ansible.builtin.copy:
|
||||
dest: "{{ poc_base_dir }}/tests/bwpoc-tests.env"
|
||||
mode: "0644"
|
||||
content: |
|
||||
# Généré par Ansible
|
||||
WAF_IP={{ waf_ip }}
|
||||
DOMAIN={{ poc_domain }}
|
||||
APPS_IP={{ apps_ip }}
|
||||
PORT_WWW={{ apps_ports.www }}
|
||||
PORT_SHOP={{ apps_ports.shop }}
|
||||
PORT_API={{ apps_ports.api }}
|
||||
|
||||
- name: Lien pratique dans le PATH
|
||||
ansible.builtin.file:
|
||||
src: "{{ poc_base_dir }}/tests/bwpoc-tests.sh"
|
||||
dest: /usr/local/bin/bwpoc-tests
|
||||
state: link
|
||||
@@ -0,0 +1,54 @@
|
||||
---
|
||||
- name: Attendre la fin de cloud-init
|
||||
ansible.builtin.command: cloud-init status --wait
|
||||
changed_when: false
|
||||
failed_when: false
|
||||
|
||||
- name: Installer les paquets de base
|
||||
ansible.builtin.apt:
|
||||
name:
|
||||
- qemu-guest-agent
|
||||
- ca-certificates
|
||||
- curl
|
||||
- gnupg
|
||||
- jq
|
||||
- python3-yaml
|
||||
- python3-debian # requis par deb822_repository
|
||||
- chrony
|
||||
state: present
|
||||
update_cache: true
|
||||
cache_valid_time: 3600
|
||||
|
||||
- name: Activer l'agent QEMU
|
||||
ansible.builtin.systemd_service:
|
||||
name: qemu-guest-agent
|
||||
state: started
|
||||
enabled: true
|
||||
failed_when: false # inactif hors Proxmox
|
||||
|
||||
- name: Fuseau horaire Europe/Paris
|
||||
ansible.builtin.file:
|
||||
src: /usr/share/zoneinfo/Europe/Paris
|
||||
dest: /etc/localtime
|
||||
state: link
|
||||
force: true
|
||||
|
||||
- name: Résolution locale des sites du PoC (vers le WAF)
|
||||
ansible.builtin.blockinfile:
|
||||
path: /etc/hosts
|
||||
marker: "# {mark} PoC BunkerWeb"
|
||||
block: |
|
||||
{{ waf_ip }} www.{{ poc_domain }} shop.{{ poc_domain }} api.{{ poc_domain }} bwui.{{ poc_domain }}
|
||||
|
||||
- name: Vérifier la présence du modèle hosts de cloud-init
|
||||
ansible.builtin.stat:
|
||||
path: /etc/cloud/templates/hosts.debian.tmpl
|
||||
register: ci_hosts_tmpl
|
||||
|
||||
- name: Persister la résolution si cloud-init gère /etc/hosts
|
||||
ansible.builtin.blockinfile:
|
||||
path: /etc/cloud/templates/hosts.debian.tmpl
|
||||
marker: "# {mark} PoC BunkerWeb"
|
||||
block: |
|
||||
{{ waf_ip }} www.{{ poc_domain }} shop.{{ poc_domain }} api.{{ poc_domain }} bwui.{{ poc_domain }}
|
||||
when: ci_hosts_tmpl.stat.exists
|
||||
@@ -0,0 +1,5 @@
|
||||
---
|
||||
- name: Redémarrer Docker
|
||||
ansible.builtin.systemd_service:
|
||||
name: docker
|
||||
state: restarted
|
||||
@@ -0,0 +1,51 @@
|
||||
---
|
||||
# Installation de Docker CE depuis le dépôt officiel (Debian 13 trixie)
|
||||
- name: Retirer les paquets Docker de la distribution
|
||||
ansible.builtin.apt:
|
||||
name: [docker.io, docker-compose, docker-doc, podman-docker, containerd, runc]
|
||||
state: absent
|
||||
|
||||
- name: Déclarer le dépôt Docker
|
||||
ansible.builtin.deb822_repository:
|
||||
name: docker
|
||||
types: [deb]
|
||||
uris: https://download.docker.com/linux/debian
|
||||
suites: ["{{ ansible_distribution_release }}"]
|
||||
components: [stable]
|
||||
architectures: [amd64]
|
||||
signed_by: https://download.docker.com/linux/debian/gpg
|
||||
state: present
|
||||
|
||||
- name: Installer Docker CE et le plugin compose
|
||||
ansible.builtin.apt:
|
||||
name:
|
||||
- docker-ce
|
||||
- docker-ce-cli
|
||||
- containerd.io
|
||||
- docker-buildx-plugin
|
||||
- docker-compose-plugin
|
||||
state: present
|
||||
update_cache: true
|
||||
|
||||
- name: Limiter la taille des journaux des conteneurs
|
||||
ansible.builtin.copy:
|
||||
dest: /etc/docker/daemon.json
|
||||
mode: "0644"
|
||||
content: |
|
||||
{
|
||||
"log-driver": "json-file",
|
||||
"log-opts": { "max-size": "20m", "max-file": "3" }
|
||||
}
|
||||
notify: Redémarrer Docker
|
||||
|
||||
- name: Démarrer Docker
|
||||
ansible.builtin.systemd_service:
|
||||
name: docker
|
||||
state: started
|
||||
enabled: true
|
||||
|
||||
- name: Ajouter l'utilisateur au groupe docker
|
||||
ansible.builtin.user:
|
||||
name: "{{ poc_vm_user }}"
|
||||
groups: docker
|
||||
append: true
|
||||
@@ -0,0 +1,45 @@
|
||||
---
|
||||
# Modèle Debian 13 cloud-init, créé une seule fois sur le nœud Proxmox.
|
||||
- name: Le modèle existe-t-il déjà ?
|
||||
ansible.builtin.command: qm status {{ pve_template_vmid }}
|
||||
register: tpl_status
|
||||
changed_when: false
|
||||
failed_when: false
|
||||
|
||||
- name: Créer le modèle
|
||||
when: tpl_status.rc != 0
|
||||
block:
|
||||
- name: Télécharger l'image Debian genericcloud
|
||||
ansible.builtin.get_url:
|
||||
url: "{{ pve_image_url }}"
|
||||
dest: "{{ pve_image_path }}"
|
||||
mode: "0644"
|
||||
|
||||
- name: Créer la VM modèle
|
||||
ansible.builtin.command: >-
|
||||
qm create {{ pve_template_vmid }}
|
||||
--name {{ pve_template_name }}
|
||||
--ostype l26 --cpu host --cores 2 --memory 2048
|
||||
--machine q35
|
||||
--scsihw virtio-scsi-single
|
||||
--net0 virtio,bridge={{ pve_bridge }}{{ (',tag=' ~ pve_vlan_tag) if pve_vlan_tag | string | length > 0 else '' }}
|
||||
--serial0 socket --vga serial0
|
||||
--agent enabled=1
|
||||
changed_when: true
|
||||
|
||||
- name: Importer le disque système
|
||||
ansible.builtin.command: >-
|
||||
qm set {{ pve_template_vmid }}
|
||||
--scsi0 {{ pve_storage }}:0,import-from={{ pve_image_path }},discard=on,iothread=1,ssd=1
|
||||
changed_when: true
|
||||
|
||||
- name: Ajouter le lecteur cloud-init et l'ordre de démarrage
|
||||
ansible.builtin.command: >-
|
||||
qm set {{ pve_template_vmid }}
|
||||
--ide2 {{ pve_storage }}:cloudinit
|
||||
--boot order=scsi0
|
||||
changed_when: true
|
||||
|
||||
- name: Convertir en modèle
|
||||
ansible.builtin.command: qm template {{ pve_template_vmid }}
|
||||
changed_when: true
|
||||
@@ -0,0 +1,13 @@
|
||||
---
|
||||
# Clone et configure les VM du PoC à partir du modèle (exécuté sur le nœud Proxmox).
|
||||
- name: Déposer la clé SSH publique pour cloud-init
|
||||
ansible.builtin.copy:
|
||||
content: "{{ lookup('ansible.builtin.file', poc_ssh_pubkey_file) }}\n"
|
||||
dest: /root/bwpoc_authorized_keys
|
||||
mode: "0600"
|
||||
|
||||
- name: Créer chaque VM
|
||||
ansible.builtin.include_tasks: vm.yml
|
||||
loop: "{{ groups['poc_vms'] | unique }}"
|
||||
loop_control:
|
||||
loop_var: vm_name
|
||||
@@ -0,0 +1,56 @@
|
||||
---
|
||||
- name: "{{ vm_name }} : lecture des paramètres"
|
||||
ansible.builtin.set_fact:
|
||||
vm: "{{ hostvars[vm_name] }}"
|
||||
|
||||
- name: "{{ vm_name }} : la VM existe-t-elle ?"
|
||||
ansible.builtin.command: qm status {{ vm.vm_id }}
|
||||
register: vm_status
|
||||
changed_when: false
|
||||
failed_when: false
|
||||
|
||||
- name: "{{ vm_name }} : création"
|
||||
when: vm_status.rc != 0
|
||||
block:
|
||||
- name: "{{ vm_name }} : l'IP {{ vm.ansible_host }} doit être libre"
|
||||
ansible.builtin.command: ping -c 2 -W 1 {{ vm.ansible_host }}
|
||||
register: ip_ping
|
||||
changed_when: false
|
||||
failed_when: ip_ping.rc == 0
|
||||
|
||||
- name: "{{ vm_name }} : clonage du modèle"
|
||||
ansible.builtin.command: >-
|
||||
qm clone {{ pve_template_vmid }} {{ vm.vm_id }}
|
||||
--name {{ vm_name }} --full 1 --storage {{ pve_storage }}
|
||||
changed_when: true
|
||||
|
||||
- name: "{{ vm_name }} : ressources et cloud-init"
|
||||
ansible.builtin.command: >-
|
||||
qm set {{ vm.vm_id }}
|
||||
--cores {{ vm.vm_cores }} --memory {{ vm.vm_memory }}
|
||||
--onboot 1 --tags bwpoc
|
||||
--ciuser {{ poc_vm_user }}
|
||||
--sshkeys /root/bwpoc_authorized_keys
|
||||
--ipconfig0 ip={{ vm.ansible_host }}/{{ poc_net_prefix }},gw={{ poc_net_gateway }}
|
||||
--nameserver "{{ poc_net_dns | join(' ') }}"
|
||||
--searchdomain {{ poc_net_searchdomain }}
|
||||
--ciupgrade 0
|
||||
changed_when: true
|
||||
|
||||
- name: "{{ vm_name }} : agrandissement du disque à {{ vm.vm_disk_gb }} Go"
|
||||
ansible.builtin.command: qm resize {{ vm.vm_id }} scsi0 {{ vm.vm_disk_gb }}G
|
||||
changed_when: true
|
||||
|
||||
- name: "{{ vm_name }} : démarrage"
|
||||
ansible.builtin.command: qm start {{ vm.vm_id }}
|
||||
register: vm_start
|
||||
changed_when: vm_start.rc == 0
|
||||
failed_when: vm_start.rc != 0 and 'already running' not in vm_start.stderr
|
||||
|
||||
- name: "{{ vm_name }} : attente du SSH"
|
||||
ansible.builtin.wait_for:
|
||||
host: "{{ vm.ansible_host }}"
|
||||
port: 22
|
||||
timeout: 300
|
||||
delegate_to: localhost
|
||||
become: false
|
||||
Executable
+161
@@ -0,0 +1,161 @@
|
||||
#!/usr/bin/env bash
|
||||
# =====================================================================
|
||||
# Tests fonctionnels du PoC BunkerWeb
|
||||
# Lance une série de requêtes légitimes et malveillantes au travers du
|
||||
# WAF et compare le code HTTP obtenu au comportement attendu.
|
||||
#
|
||||
# Usage : bwpoc-tests.sh [--direct] [--only <motif>]
|
||||
# --direct rejoue les attaques directement sur les applis, sans WAF
|
||||
# (nécessite apps_direct_access_sources, voir README)
|
||||
# --only ne lance que les tests dont le titre contient <motif>
|
||||
#
|
||||
# Variables (fichier bwpoc-tests.env à côté du script, ou environnement) :
|
||||
# WAF_IP, DOMAIN, APPS_IP, PORT_WWW, PORT_SHOP, PORT_API
|
||||
#
|
||||
# ATTENTION : les derniers tests provoquent volontairement le
|
||||
# bannissement de votre IP sur api.<domaine> (BAD_BEHAVIOR_BAN_TIME).
|
||||
# =====================================================================
|
||||
set -uo pipefail
|
||||
|
||||
SCRIPT_DIR="$(cd "$(dirname "$(readlink -f "$0")")" && pwd)"
|
||||
# shellcheck source=/dev/null
|
||||
[ -f "$SCRIPT_DIR/bwpoc-tests.env" ] && . "$SCRIPT_DIR/bwpoc-tests.env"
|
||||
|
||||
WAF_IP="${WAF_IP:-192.168.200.61}"
|
||||
DOMAIN="${DOMAIN:-bwpoc.internal}"
|
||||
APPS_IP="${APPS_IP:-192.168.200.62}"
|
||||
PORT_SHOP="${PORT_SHOP:-8082}"
|
||||
PORT_API="${PORT_API:-8083}"
|
||||
|
||||
DIRECT=0
|
||||
ONLY=""
|
||||
while [ $# -gt 0 ]; do
|
||||
case "$1" in
|
||||
--direct) DIRECT=1 ;;
|
||||
--only) ONLY="$2"; shift ;;
|
||||
-h|--help) sed -n '2,18p' "$0"; exit 0 ;;
|
||||
*) echo "Option inconnue : $1" >&2; exit 2 ;;
|
||||
esac
|
||||
shift
|
||||
done
|
||||
|
||||
if [ -t 1 ]; then G=$'\e[32m'; R=$'\e[31m'; Y=$'\e[33m'; B=$'\e[1m'; N=$'\e[0m'; else G=; R=; Y=; B=; N=; fi
|
||||
PASS=0; FAIL=0; INFO=0
|
||||
UA="Mozilla/5.0 (X11; Linux x86_64) bwpoc-tests"
|
||||
|
||||
# Requête au travers du WAF : --resolve évite tout besoin de DNS.
|
||||
# Affiche "<code_http> <url_de_redirection>".
|
||||
waf() {
|
||||
local host="$1" path="$2"; shift 2
|
||||
curl -sk -o /dev/null -w '%{http_code} %{redirect_url}' --max-time 10 \
|
||||
--resolve "$host.$DOMAIN:443:$WAF_IP" --resolve "$host.$DOMAIN:80:$WAF_IP" \
|
||||
-A "$UA" "$@" "https://$host.$DOMAIN$path"
|
||||
}
|
||||
|
||||
# Vérifie qu'un code fait partie de la liste attendue (séparateur |)
|
||||
check() {
|
||||
local title="$1" expected="$2" got="$3" level="${4:-strict}"
|
||||
if [ -n "$ONLY" ] && [[ "$title" != *"$ONLY"* ]]; then return; fi
|
||||
local code="${got%% *}"
|
||||
if [[ "|$expected|" == *"|$code|"* ]]; then
|
||||
printf ' %s[OK]%s %-58s %s\n' "$G" "$N" "$title" "$code"; PASS=$((PASS + 1))
|
||||
elif [ "$level" = info ]; then
|
||||
printf ' %s[INFO]%s %-58s %s (attendu %s)\n' "$Y" "$N" "$title" "$code" "$expected"; INFO=$((INFO + 1))
|
||||
else
|
||||
printf ' %s[KO]%s %-58s %s (attendu %s)\n' "$R" "$N" "$title" "$code" "$expected"; FAIL=$((FAIL + 1))
|
||||
fi
|
||||
}
|
||||
|
||||
section() { printf '\n%s== %s ==%s\n' "$B" "$1" "$N"; }
|
||||
|
||||
# ---------------------------------------------------------------------
|
||||
if [ "$DIRECT" -eq 1 ]; then
|
||||
section "Sans WAF : attaques envoyées directement à $APPS_IP"
|
||||
for t in \
|
||||
"SQLi Juice Shop (recherche produits)|http://$APPS_IP:$PORT_SHOP/rest/products/search?q=%27))%20OR%201%3D1--" \
|
||||
"XSS réfléchie|http://$APPS_IP:$PORT_SHOP/?q=%3Cscript%3Ealert(1)%3C%2Fscript%3E" \
|
||||
"Méthode PUT sur l'API|http://$APPS_IP:$PORT_API/put"; do
|
||||
title="${t%%|*}"; url="${t#*|}"
|
||||
if [[ "$title" == *PUT* ]]; then
|
||||
code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 5 -X PUT "$url")
|
||||
else
|
||||
code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 5 "$url")
|
||||
fi
|
||||
printf ' %-60s %s\n' "$title" "$code"
|
||||
done
|
||||
echo
|
||||
echo "Code 000 = port filtré (seul le WAF est autorisé). Sinon, comparez avec le passage par le WAF."
|
||||
exit 0
|
||||
fi
|
||||
|
||||
echo "${B}PoC BunkerWeb${N} : WAF $WAF_IP, domaine $DOMAIN"
|
||||
|
||||
section "Transport et socle"
|
||||
check "HTTP redirigé vers HTTPS (api)" "301|302|307|308" \
|
||||
"$(curl -s -o /dev/null -w '%{http_code}' --max-time 10 --resolve "api.$DOMAIN:80:$WAF_IP" "http://api.$DOMAIN/get")"
|
||||
check "Host inconnu refusé (DISABLE_DEFAULT_SERVER)" "000|400|403|404|444" \
|
||||
"$(curl -sk -o /dev/null -w '%{http_code}' --max-time 10 --resolve "inconnu.$DOMAIN:443:$WAF_IP" "https://inconnu.$DOMAIN/")"
|
||||
check "Requête légitime sur l'API" "200" "$(waf api /get)"
|
||||
|
||||
section "En-têtes et compression"
|
||||
HDRS=$(curl -sk -D - -o /dev/null --max-time 10 --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/get" | tr -d '\r' | tr 'A-Z' 'a-z')
|
||||
for h in strict-transport-security x-frame-options x-content-type-options content-security-policy referrer-policy; do
|
||||
if grep -q "^$h:" <<<"$HDRS"; then check "En-tête $h ajouté" "yes" "yes"; else check "En-tête $h ajouté" "yes" "no"; fi
|
||||
done
|
||||
if grep -q "^server:" <<<"$HDRS"; then check "En-tête Server masqué" "masqué" "présent" info; else check "En-tête Server masqué" "masqué" "masqué"; fi
|
||||
XFF=$(curl -sk --max-time 10 --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/headers" | jq -r '.headers["X-Forwarded-For"][0] // empty' 2>/dev/null)
|
||||
if [ -n "$XFF" ]; then check "Le backend reçoit X-Forwarded-For ($XFF)" "yes" "yes"; else check "Le backend reçoit X-Forwarded-For" "yes" "no"; fi
|
||||
for enc in br gzip; do
|
||||
CE=$(curl -sk -D - -o /dev/null --max-time 10 -H "Accept-Encoding: $enc" --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/html" \
|
||||
| tr -d '\r' | awk -F': ' 'tolower($1)=="content-encoding"{print $2}')
|
||||
check "Compression $enc" "$enc" "${CE:-aucune}"
|
||||
done
|
||||
|
||||
section "Antibot (www)"
|
||||
RES=$(waf www /)
|
||||
if [[ "$RES" == *challenge* ]] || [[ "${RES%% *}" == 200 && $(curl -sk --max-time 10 --resolve "www.$DOMAIN:443:$WAF_IP" "https://www.$DOMAIN/" | grep -ci challenge) -gt 0 ]]; then
|
||||
check "Un client sans JavaScript reste bloqué sur /challenge" "yes" "yes"
|
||||
else
|
||||
check "Un client sans JavaScript reste bloqué sur /challenge" "yes" "no ($RES)"
|
||||
fi
|
||||
|
||||
section "WAF ModSecurity + OWASP CRS 4 (shop)"
|
||||
check "Page d'accueil Juice Shop" "200" "$(waf shop /)"
|
||||
check "SQLi : recherche produits ')) OR 1=1--" "403" "$(waf shop "/rest/products/search?q=%27))%20OR%201%3D1--")"
|
||||
check "XSS : <script>alert(1)</script>" "403" "$(waf shop "/?q=%3Cscript%3Ealert(1)%3C%2Fscript%3E")"
|
||||
check "Traversée de répertoire ../../etc/passwd" "403" "$(waf shop "/?file=..%2F..%2F..%2F..%2Fetc%2Fpasswd")"
|
||||
check "Injection de commande ;cat /etc/passwd" "403" "$(waf api "/get?cmd=%3Bcat%20%2Fetc%2Fpasswd")"
|
||||
check "Règle ModSecurity maison ?poc=attack" "403" "$(waf api "/get?poc=attack")"
|
||||
|
||||
section "Listes noires"
|
||||
check "User-Agent maison PoC-EvilBot (BLACKLIST_USER_AGENT)" "403" "$(waf shop / -A "PoC-EvilBot/1.0")"
|
||||
check "User-Agent sqlmap (liste communautaire)" "403" "$(waf shop / -A "sqlmap/1.8#stable (https://sqlmap.org)")" info
|
||||
|
||||
section "Contraintes protocolaires (api)"
|
||||
check "Méthode PUT interdite (ALLOWED_METHODS)" "405" "$(waf api /put -X PUT -d x=1)"
|
||||
check "Corps de 2 Mo refusé (MAX_CLIENT_SIZE=1m)" "413" \
|
||||
"$(head -c 2097152 /dev/zero | tr '\0' 'a' | curl -sk -o /dev/null -w '%{http_code}' --max-time 20 \
|
||||
--resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" -H 'Content-Type: text/plain' --data-binary @- "https://api.$DOMAIN/post")"
|
||||
|
||||
section "Limitation de débit puis bad behavior (api)"
|
||||
echo " Envoi de 40 requêtes en parallèle (LIMIT_REQ_RATE=5r/s)..."
|
||||
CODES=$(seq 1 40 | xargs -P 20 -I{} curl -sk -o /dev/null -w '%{http_code}\n' --max-time 10 \
|
||||
--resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/get?n={}" | sort | uniq -c | tr '\n' ' ')
|
||||
echo " Répartition des codes : $CODES"
|
||||
if grep -qE '\b429\b' <<<"$CODES"; then check "Des requêtes ont été limitées (429)" "yes" "yes"; else check "Des requêtes ont été limitées (429)" "yes" "no"; fi
|
||||
echo " Envoi de 12 requêtes en erreur 404 (BAD_BEHAVIOR_THRESHOLD=10)..."
|
||||
for i in $(seq 1 12); do waf api "/status/404?i=$i" >/dev/null; done
|
||||
sleep 2
|
||||
check "IP bannie : requête légitime désormais refusée" "403" "$(waf api /get)"
|
||||
check "Bannissement limité au service api (shop répond)" "200" "$(waf shop /)"
|
||||
|
||||
# ---------------------------------------------------------------------
|
||||
printf '\n%sBilan%s : %s%d OK%s, %s%d KO%s, %d info\n' "$B" "$N" "$G" "$PASS" "$N" "$R" "$FAIL" "$N" "$INFO"
|
||||
MYIP=$(curl -sk --max-time 5 --resolve "shop.$DOMAIN:443:$WAF_IP" -A "$UA" -o /dev/null -w '%{local_ip}' "https://shop.$DOMAIN/")
|
||||
cat <<EOF
|
||||
|
||||
Votre IP ($MYIP) est bannie de api.$DOMAIN pendant BAD_BEHAVIOR_BAN_TIME.
|
||||
Pour lever le bannissement : UI BunkerWeb, menu Bans, ou sur la VM WAF :
|
||||
docker exec bw-scheduler bwcli unban $MYIP
|
||||
EOF
|
||||
[ "$FAIL" -eq 0 ]
|
||||
Reference in new issue
Block a user