OWASP Juice Shop

OWASP Juice Shop は、脆弱性をわざと仕込んだジュース屋さんのネットショップです。自分のパソコンの中で動かすので、攻撃の練習をしても誰にも迷惑がかかりません。

公式の説明では、OWASP Top 10 の全分野に加えて、実際のアプリで見つかった多くの欠陥を含んでいます。研修やデモ、CTF、診断ツールの試し撃ちの相手として作られています。

この記事は、Web の脆弱性を手を動かして学びたい人に向けています。読み終えると、次のことができるようになります。

• Docker で Juice Shop を起動し、ブラウザで開く
• スコアボードで課題（チャレンジ）の一覧と進み具合を見る
• ZAP や Nuclei の練習台として使う

##Juice Shop でできること

• チャレンジ：アプリの中に隠れた脆弱性を見つけて突くと、課題が解けたことになります。難しさは星 1〜6 で表されます。
• スコアボード：全チャレンジの一覧と、解いた数を表示します。スコアボードの場所を探すこと自体が最初の課題の 1 つです。
• Hacking Instructor：一部のチャレンジに、画面上で手順を案内するチュートリアルが付いています。
• 診断ツールの練習：ZAP のアクティブスキャンや Nuclei のテンプレートを、本番のサイトを傷つけずに試せます。

##安全な試し方：Docker で起動する

1. Docker をインストールします。

2. 次のコマンドでイメージを取得します。

   docker pull bkimminich/juice-shop

3. 次のコマンドで起動します。127.0.0.1:3000:3000 と書くことで、自分のパソコンからしか開けなくなります。

   docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shop

4. ブラウザで http://localhost:3000 を開きます。

5. 止めるときは、別の画面で docker ps を実行してコンテナ ID を調べ、docker stop <コンテナ ID> を実行します。--rm を付けたので、止めるとコンテナは消えます。

##主な起動方法

ソースや配布パッケージで動かすときは Node.js が必要です。公式ガイドでは 22.x、24.x、26.x が正式な対応版です。

##ZAP と組み合わせる

Juice Shop を起動したまま ZAP を開き、Quick Start の URL to attack に http://localhost:3000 を入れて試します。詳しい手順は ZAP の記事にあります。アクティブスキャンでデータが壊れても、コンテナを起動し直せば元に戻ります。

##注意点

##次に読む

• cd ../zapZAPJuice Shop を相手に練習できる Web アプリ診断ツール
• cd ../nucleiNucleiテンプレートで既知の脆弱性を調べるスキャナ
• cat ~/guides/lab-setup.md安全な検証環境の作り方