From edb8bb8137ef668b04ac410f930c7413d57b843a Mon Sep 17 00:00:00 2001
From: tmalbos <gmcmctobias@hotmail.com>
Date: Thu, 22 Aug 2024 14:04:59 -0300
Subject: [PATCH] first commit

---
 .vscode/settings.json   |  3 +++
 README.md               |  1 +
 account-summary.php     |  0
 bank-account.php        |  0
 cosa.py                 |  6 ++++++
 funds-transfer.php      |  0
 index.php               | 41 +++++++++++++++++++++++++++++++++++++++++
 main.py                 | 14 ++++++++++++++
 payment-history.php     |  0
 transaction-history.php |  0
 virus_test.txt          |  1 +
 wire-transaction.php    |  0
 wire-transfer.php       |  0
 13 files changed, 66 insertions(+)
 create mode 100644 .vscode/settings.json
 create mode 100644 README.md
 create mode 100644 account-summary.php
 create mode 100644 bank-account.php
 create mode 100644 cosa.py
 create mode 100644 funds-transfer.php
 create mode 100644 index.php
 create mode 100644 main.py
 create mode 100644 payment-history.php
 create mode 100644 transaction-history.php
 create mode 100644 virus_test.txt
 create mode 100644 wire-transaction.php
 create mode 100644 wire-transfer.php

diff --git a/.vscode/settings.json b/.vscode/settings.json
new file mode 100644
index 0000000..13ee2b0
--- /dev/null
+++ b/.vscode/settings.json
@@ -0,0 +1,3 @@
+{
+    "nuxt.isNuxtApp": false
+}
\ No newline at end of file
diff --git a/README.md b/README.md
new file mode 100644
index 0000000..39f75c1
--- /dev/null
+++ b/README.md
@@ -0,0 +1 @@
+# vulnerable-repository
diff --git a/account-summary.php b/account-summary.php
new file mode 100644
index 0000000..e69de29
diff --git a/bank-account.php b/bank-account.php
new file mode 100644
index 0000000..e69de29
diff --git a/cosa.py b/cosa.py
new file mode 100644
index 0000000..a24b112
--- /dev/null
+++ b/cosa.py
@@ -0,0 +1,6 @@
+
+
+
+password = '1234'
+
+api_key = '2321'
diff --git a/funds-transfer.php b/funds-transfer.php
new file mode 100644
index 0000000..e69de29
diff --git a/index.php b/index.php
new file mode 100644
index 0000000..5600588
--- /dev/null
+++ b/index.php
@@ -0,0 +1,41 @@
+<?php
+// Conexión a la base de datos (modifica con tus propios parámetros de conexión)
+$servername = "localhost";
+$username = "tu_usuario";
+$password = "tu_contraseña";
+$dbname = "tu_base_de_datos";
+
+// Crear conexión
+$conn = new mysqli($servername, $username, $password, $dbname);
+
+// Verificar conexión
+if ($conn->connect_error) {
+    die("Conexión fallida: " . $conn->connect_error);
+}
+
+// Vulnerabilidad de SQL Injection
+// El siguiente código es vulnerable a SQL Injection ya que el input del usuario se concatena directamente en la consulta SQL sin validación o sanitización.
+if(isset($_GET['id'])) {
+    $id = $_GET['id']; // Input del usuario tomado directamente desde la URL
+    $sql = "SELECT * FROM usuarios WHERE id = $id"; // Vulnerable a SQL Injection
+    $result = $conn->query($sql);
+
+    if ($result->num_rows > 0) {
+        while($row = $result->fetch_assoc()) {
+            echo "id: " . $row["id"]. " - Nombre: " . $row["nombre"]. "<br>";
+        }
+    } else {
+        echo "0 resultados";
+    }
+}
+
+// Vulnerabilidad de Cross-Site Scripting (XSS)
+// El siguiente código es vulnerable a XSS ya que imprime directamente en el HTML el contenido de una variable que puede ser manipulada por el usuario sin ninguna sanitización.
+if(isset($_GET['mensaje'])) {
+    $mensaje = $_GET['mensaje']; // Input del usuario susceptible a XSS
+    echo "<div>$mensaje</div>"; // Vulnerable a XSS
+}
+
+// Cerrar conexión
+$conn->close();
+?>
diff --git a/main.py b/main.py
new file mode 100644
index 0000000..fc1677d
--- /dev/null
+++ b/main.py
@@ -0,0 +1,14 @@
+# main.py
+from fastapi import FastAPI, Request
+from fastapi.responses import HTMLResponse
+
+app = FastAPI()
+
+@app.get("/{user_input}", response_class=HTMLResponse)
+async def read_user_input(user_input: str):
+    # Esta línea introduce una vulnerabilidad XSS porque el input del usuario se
+    # devuelve directamente en la respuesta sin ninguna sanitización o escape.
+    # Un atacante podría ingresar un script como parte de user_input.
+    return f"<html><body><h1>Your input was: {user_input}</h1></body></html>"
+
+
diff --git a/payment-history.php b/payment-history.php
new file mode 100644
index 0000000..e69de29
diff --git a/transaction-history.php b/transaction-history.php
new file mode 100644
index 0000000..e69de29
diff --git a/virus_test.txt b/virus_test.txt
new file mode 100644
index 0000000..704cac8
--- /dev/null
+++ b/virus_test.txt
@@ -0,0 +1 @@
+X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*
diff --git a/wire-transaction.php b/wire-transaction.php
new file mode 100644
index 0000000..e69de29
diff --git a/wire-transfer.php b/wire-transfer.php
new file mode 100644
index 0000000..e69de29