Installa l'applicazione Web dannatamente vulnerabile in Kali Linux
Impareremo in dettaglio i seguenti argomenti:
- Installazione e configurazione di DVWA in Kali Linux
- Apache 2 Web Server Setup
- Configurazione PHP
- Impostazione del database MySQL
Dvwa a colpo d'occhio
Damn Vulnerable Web Application (DVWA) è un'applicazione Web creata per un tester di penetrazione per testare e praticare le loro capacità di hacking offensive in un ambiente controllato.
Installa DVWA su Kali Linux
L'installazione di DVWA su Kali è in realtà facile, in realtà, ci sono diversi metodi disponibili. Innanzitutto, l'utente deve scaricare il progetto dalla pagina DVWA GitHub ed eseguire alcune impostazioni di configurazione come database, server Web e PHP. In secondo luogo, l'utente potrebbe anche ottenere un pacchetto DVWA predefinito quando sta installando Metasploable. In terzo luogo, il repository Kali Linux fornisce anche il pacchetto per DVWA, utilizzando il comando APT-Install. L'ultimo metodo è il modo più semplice e senza sforzo per installare DVWA su Kali Linux.
In questo tutorial, impareremo come costruire o installare manualmente DVWA su Kali Linux. Con l'obiettivo di imparare come creare un sito Web e sapere cos'è la tecnologia che viene spesso utilizzata per costruire un sito Web.
Prerequisito
Prima di installare DVWA nel nostro Kali Linux, assicurati di avere un elenco di repository aggiornato e installare tutti i pacchetti richiesti con il seguente comando:
Sudo Apt Aggiornamento
SUDO APT Installa
Scarica il progetto DVWA GitHub
Innanzitutto, dobbiamo scaricare o clonare il progetto DVWA GitHub sulla nostra directory Kali Linux in/var/www/html. Basta usare il comando clone git per farlo, ma assicurati di cambiare la directory corrente in/var/www/html usando il comando cd.
CD/VAR/WWW/HTML
sudo git clone https: // github.com/digininja/dvwa
Una volta scaricato il progetto, diamo un'occhiata a quali file sono in esso.
Quindi, imposta l'autorizzazione per leggere, scrivere ed eseguire le autorizzazioni nella directory DVWA.
sudo chmod -r 777 dvwa/
Questa autorizzazione consente a DVWA di archiviare i registri PHPIDS e di archiviare il file caricato situato nella directory DVWA/hackable/uploads.
File di configurazione DVWA
L'esempio predefinito dell'impostazione di configurazione di DVWA si trova nella directory /config. Il nome file è configurazione.INC.PHP.Dist. È possibile trovare la configurazione come DBMS, le credenziali del database, le impostazioni di sicurezza DVWA predefinite e molti altri. Diamo un'occhiata al file qui sotto.
Questo file è un file di esempio, il DVWA non lo utilizzerà. Altrimenti, copriremo questo file e lo rinomineremo (rimuovendo il .dist alla fine) da config.INC.PHP.
SUDO CP Config.INC.PHP.Dist config.INC.PHP
Ora apri il file copiato (config.INC.PHP) Utilizzo di qualsiasi editor di testo e modifica l'impostazione predefinita del database di nome utente e password.
Ad esempio, cambieremo l'utente in "utente" e la password in "passweed".
Si prega di prendere nota del valore sopra. Abbiamo bisogno del valore di db_server, db_database, db_user e db_password per la configurazione successiva di seguito.
Configurazione del database
Innanzitutto, dobbiamo accendere il servizio MySQL utilizzando il seguente comando:
sudo servizio mysql avvia
Quindi, accedi a MySQL utilizzando l'utente root, ti verrà chiesto la password di root:
sudo mysql -u root -p
Ricapitiamo il valore delle informazioni del database sull'impostazione di configurazione DVWA (nel passaggio 2) che useremo nella tabella seguente.
| db_server | 127.0.0.1 |
| db_database | dvwa |
| db_user | utente |
| db_password | passweed |
Dalle informazioni sopra, crea un utente di database con il nome 'utente'e la password'passweed"Sul nostro server locale a"127.0.0.1'Usando il seguente comando:
Crea "utente" utente@"127.0.0.1 'Identificato da' Passweed ';
Se configurato correttamente, l'output felice sarà "Query ok".
L'ultimo passo è concedere il privilegio dell'utente in tutto il database "DVWA". Esegui il comando sotto. È necessario fornire nuovamente il nome utente, la password e le informazioni sul server.
Concedi tutti i privilegi su DVWA.* a 'utente'@'127.0.0.1 'Identificato da' Passweed ';
Configurare il server Web Apache2
Il file di installazione Apache2 sul tuo Kali Linux è memorizzato nella directory /etc /php seguita dalla versione del tuo PHP. In questo tutorial, stiamo usando l'ultima versione 8 PHP.1.
Ora, apporteremo le modifiche a una funzione PHP, consentire di abilitare. La configurazione è memorizzata in /apache2 /php.file ini. Apri il file utilizzando il tuo editor di testo preferito. Qui, sto usando il nano text editor.
sudo nano/etc/php/8.1/apache2/php.ini
Scorri verso il basso fino a Involucri Fopen sezione e assicurarsi che queste due funzioni siano abilitate impostando il valore su, sono abilit_url_fopen e ammise_url_include.
Quindi, salva le modifiche premendo Ctrl + O E accedere. Esci dal Nano Editor premendo Ctrl + X. Consentendo questa funzione, DVWA ci consente di eseguire l'attacco di inclusione dei file remoti XSS (RFI).
Avvia DVWA sul browser
Una volta configurato tutto, riavvia il servizio APACHE2 e il servizio MySQL eseguendo il seguente comando:
Sudo SystemCtl Riavvia Apache2.servizio
SUD SERVIZIO MYSQL Riavvia
Quindi, apri un browser e visita http: // localhost/dvwa/o http: // 127.0.0.1/dvwa/. Vedrai una pagina di benvenuto DVWA come mostrato di seguito.
L'ultima configurazione è necessaria, ancora. Abbiamo già creato credenziali dell'utente di database ma non abbiamo creato il database. Per crearne uno, vai alla pagina DVWA e sul pannello a sinistra fai clicImposta / reset DB'.
Vedrai il 'Impostazione del database' pagina. Ora, scorrere fino in fondo e trova un pulsante chiamato 'Crea / reset database'.
Fai clic su quel pulsante.
L'impostazione è eseguita. Il tuo DVWA è pronto per essere sfruttato. È possibile esplorare ogni pagina di vulnerabilità disponibile su DVWA come forza bruta, iniezione di comandi, attacco CSRF, inclusione dei file, caricamento dei file, iniezione di SQL, attacco XSS e molti altri come mostrato nella figura seguente.
Assicurarsi di selezionare il livello di sicurezza adeguato prima di eseguire il test. Per impostazione predefinita, il livello di sicurezza è stato impossibile su impossibile, che è un altro termine per una pagina sicura. Si prega di iniziare dal livello più basso per padroneggiare il concetto fondamentale.
Conclusione
L'hacking è anche un'abilità pratica che richiede esperienza e quantità nell'esecuzione di un test di penetrazione. DVWA è utile per la formazione o l'insegnamento agli altri come attaccare le vulnerabilità di un'applicazione Web senza rischio o con un ambiente controllato.