Die Firma Bonsai Information Security bietet unter dem Namen Moth ein VMware-Image mit fehlerhaften Webanwendungen an. Sie dienen zum Testen und Entwickeln von Security-Scannern sowie zum Unterricht in Sachen Web Application Security.
Daneben lassen sich auch Verfahren zur statischen Code-Analyse am Quellcode der Anwendungen erproben. Zur mitgelieferten Software gehören unsichere Versionen des Blogs WordPress und der Projektmanagement-Anwendung Redmine.
Die Anwendungen sind direkt oder geschützt durch Mod_security zugänglich, für PHP-Anwendungen steht auch das Intrusion Detection System PHP-IDS zur Verfügung. Auf diese Weise lassen sich die Scanner-Test und sonstige Angriffsversuche automatisch protokollieren.
Das VMware-Image Moth steht auf einer Sourceforge-Seite als mit 7-Zip komprimiertes Archiv zum Download bereit. Die Software-Sammlung ist unter GPL lizenziert.
