1.6 Docker

# docker-compose.yml
services:

  # Cada bloque bajo "services" es un contenedor
  nombre_del_servicio:

    # Imagen a usar (de Docker Hub)
    image: nombre_imagen:tag

    # O construir desde un Dockerfile local
    build: ./ruta/al/directorio

    # Nombre del contenedor (opcional, por defecto es carpeta_servicio_1)
    container_name: mi_contenedor

    # Mapeo de puertos: anfitrión:contenedor
    ports:
      - "8080:80"

    # Variables de entorno
    environment:
      - MYSQL_ROOT_PASSWORD=secreto
      - MYSQL_DATABASE=dvwa

    # Volúmenes: anfitrión:contenedor
    volumes:
      - ./datos:/var/lib/mysql
      - datos_nombrado:/app/data

    # Red a la que pertenece este servicio
    networks:
      - red_laboratorio

    # Depende de otro servicio (espera a que esté iniciado)
    depends_on:
      - base_de_datos

    # Política de reinicio
    restart: unless-stopped

# Definición de redes personalizadas
networks:
  red_laboratorio:
    driver: bridge

# Definición de volúmenes nombrados
volumes:
  datos_nombrado:

services:

  dvwa:
    image: vulnerables/web-dvwa
    container_name: dvwa
    ports:
      - "8080:80"
    environment:
      - MYSQL_HOSTNAME=db
      - MYSQL_DATABASE=dvwa
      - MYSQL_USERNAME=dvwa
      - MYSQL_PASSWORD=p@ssw0rd
    networks:
      - lab
    depends_on:
      - db
    restart: unless-stopped

  db:
    image: mysql:5.7
    container_name: dvwa_db
    environment:
      - MYSQL_ROOT_PASSWORD=rootpass
      - MYSQL_DATABASE=dvwa
      - MYSQL_USER=dvwa
      - MYSQL_PASSWORD=p@ssw0rd
    volumes:
      - dvwa_db_data:/var/lib/mysql
    networks:
      - lab
    restart: unless-stopped

networks:
  lab:
    driver: bridge

volumes:
  dvwa_db_data:

# Levantar todos los servicios (en segundo plano)
docker compose up -d

# Ver los servicios en ejecución
docker compose ps

# Ver los logs de todos los servicios
docker compose logs -f

# Ver los logs de un servicio específico
docker compose logs -f dvwa

# Parar todos los servicios (sin eliminarlos)
docker compose stop

# Parar y eliminar contenedores, redes (los volúmenes persisten)
docker compose down

# Parar, eliminar todo incluyendo volúmenes (reset total)
docker compose down -v

# Reconstruir las imágenes antes de levantar
docker compose up -d --build

# Ejecutar un comando en un servicio específico
docker compose exec dvwa bash

# Escalar un servicio (varias instancias)
docker compose up -d --scale dvwa=3

services:

  # PROXY — accesible desde el exterior, tiene acceso a la DMZ
  proxy:
    image: nginx:alpine
    container_name: proxy
    ports:
      - "80:80"        # El único servicio expuesto al anfitrión
    volumes:
      - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro  # Configuración del proxy inverso
    networks:
      - dmz            # Solo tiene acceso a la DMZ
    depends_on:
      - webapp

  # APP WEB — solo accesible desde la DMZ, no desde el exterior
  webapp:
    image: ghcr.io/digininja/dvwa
    container_name: webapp
    # Sin "ports" — no está expuesta al anfitrión
    networks:
      - dmz            # Puede recibir tráfico del proxy
      - interna        # Puede acceder a la base de datos
    depends_on:
      - db

  # BASE DE DATOS — solo accesible desde la red interna
  db:
    image: mysql:8.0
    container_name: base_datos
    environment:
      - MYSQL_ROOT_PASSWORD=rootpass
      - MYSQL_DATABASE=app
      - MYSQL_USER=appuser
      - MYSQL_PASSWORD=apppass
    networks:
      - interna        # Solo accesible desde la red interna
    volumes:
      - db_data:/var/lib/mysql

  # CLIENTE FICTICIO — simula un usuario en la red interna
  cliente:
    image: alpine
    container_name: cliente
    command: sleep infinity    # Mantenerlo vivo para conectarse manualmente
    networks:
      - interna        # Solo ve la red interna

networks:
  dmz:
    driver: bridge
  interna:
    driver: bridge
    internal: true   # Sin acceso al exterior ni al anfitrión

volumes:
  db_data:

server {
    listen 80;

    location / {
        proxy_pass         http://webapp:80;
        proxy_set_header   Host $host;
        proxy_set_header   X-Real-IP $remote_addr;
    }
}

# Levantar el laboratorio
docker compose up -d

# Desde el contenedor "proxy": puede ver webapp pero NO la db
docker compose exec proxy curl -I http://webapp        # ✅ funciona (proxy reenvía a webapp)
docker compose exec proxy nc -zv base_datos 3306     # ❌ falla (red interna)

# Desde el contenedor "webapp": puede ver db
# La imagen de DVWA no incluye nc — se usa /dev/tcp de bash directamente
docker compose exec webapp bash -c "echo open > /dev/tcp/base_datos/3306 && echo conectado"   # ✅ funciona

# Desde el contenedor "cliente": solo ve la red interna
docker compose exec cliente nc -zv base_datos 3306   # ✅ funciona
docker compose exec cliente ping -c 3 8.8.8.8          # ❌ falla (internal:true)

# Ver las redes creadas por Docker
docker network ls

# Ver qué contenedores están en una red específica
# NOTA: el prefijo depende del nombre del directorio del proyecto
docker network inspect $(docker network ls --filter name=interna --format '{{.Name}}')

# Alternativa: ver las interfaces de red desde dentro del contenedor
docker compose exec proxy cat /etc/hosts

services:

  dvwa:
    image: ghcr.io/digininja/dvwa
    container_name: dvwa
    ports:
      - "8080:80"
    networks:
      - lab

  juiceshop:
    image: bkimminich/juice-shop
    container_name: juiceshop
    ports:
      - "3000:3000"
    networks:
      - lab

  webgoat:
    image: webgoat/webgoat
    container_name: webgoat
    ports:
      - "9090:8080"
    networks:
      - lab

  mysql_exposed:
    image: mysql:8.0
    container_name: mysql_target
    environment:
      - MYSQL_ROOT_PASSWORD=toor
      - MYSQL_DATABASE=secretos
    ports:
      - "3306:3306"    # MySQL expuesto — objetivo para SQLi y credenciales débiles
    networks:
      - lab

networks:
  lab:
    driver: bridge