FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

关于XMGoat

XMGoat是一款针对Azure的环境安全检测工具，XM Goat 由 XM Cyber Terraform 模板组成，可帮助您了解常见的 Azure 安全问题。每个模板都是一个用于安全技术学习的靶机环境，包含了一些严重的配置错误。

在该工具的帮助下，广大研究人员可以更好地理解和学习针对Azure安全的相关知识和技术。

工具要求

1、Azure 租户；

2、Terafform 版本 1.0.9 或更高版本；

3、Azure CLI；

4、具有订阅所有者权限和 AAD 中全局管理员权限的 Azure 用户；

操作指引

以下是针对每种环境需要执行的操作：

1、运行安装程序然后开始。

2、使用初始用户和服务主体凭据，根据场景流程对目标环境执行安全测试（例如，XMGoat/scenarios/scenario_1/scenario1_flow.png）。

3、如果您需要安全测试帮助，请参考解决方案（例如，XMGoat/scenarios/scenario_1/solution.md）。

4、当你完成安全学习或测试后，别忘了清理一下环境。

工具安装

广大研究人员可以直接使用下列命令将该项目源码克隆至本地：

$ az login

$ git clone https://github.com/XMCyber/XMGoat.git

然后切换到项目目录中，选择需要执行安全审计的对应环境场景模板即可：

$ cd XMGoat

$ cd scenarios

$ cd scenario_<\SCENARIO>

其中 <\SCENARIO> 是您要完成的场景编号， <\FILENAME> 是输出文件的名称：

$ terraform init

$ terraform plan -out <\FILENAME>

$ terraform apply <\FILENAME>

工具使用

要获取初始用户和服务主体凭据，请运行以下查询：

$ terraform output --json

对于服务主体，使用 application_id.value 和 application_secret.value。

对于用户，使用username.value和password.value。

环境清理

完成对应场景的安全测试之后，运行以下命令以清理租户中创建的所有资源

$ az login

$ cd XMGoat

$ cd scenarios

$ cd scenario_<\SCENARIO>

其中 <\SCENARIO> 是您要完成的场景编号。

$ terraform destroy

场景测试流程

场景1

场景2

场景3

场景4

场景5

项目地址

XMGoat：【GitHub传送门】

本文为 独立观点，未经允许不得转载，授权请联系FreeBuf客服小蜜蜂，微信：freebee2022