Was ist das?

Willkommen zu unserem Test Drive – dieses Dokument bietet Ihnen die Informationen, die Sie benötigen, um das Beste aus dem Damn Vulnerable Web App (DVWA) Test Drive in Azure zu machen.

Holen Sie sich Ihre Testfahrt hier:

DVWA ist eine PHP/MySQL-Webanwendung, deren Hauptziel es ist, ein Hilfsmittel für Sicherheitsexperten zu sein, um ihre Fähigkeiten und Tools in einer legalen Umgebung zu testen. Wir haben versucht, die Bereitstellung der DVWA so einfach wie möglich zu gestalten und haben ein Add-on erstellt, das einfach auf den edgeNEXUS ALB-X Load Balancer angewendet werden kann.

Wie

Der ALB-X hat die Fähigkeit, containerisierte Anwendungen auszuführen, die direkt oder über den Load Balancer Proxy zusammengefügt werden können. Dieses Image hat bereits 1 Add-On installiert, aber Sie können jederzeit zum Appstore gehen und weitere installieren.

Übersicht über die Konnektivität

Virtuelle Maschinen, die in der Azure-Cloud bereitgestellt werden, verwenden private interne IP-Adressierung (NAT-IPs) auf dieselbe Weise wie in einer Standard-Rechenzentrumsumgebung. Um über das öffentliche Internet Zugang zur Ressource zu erhalten, wird eine NAT-Funktion von der zugewiesenen öffentlichen IP-Adresse zur privaten IP-Adresse der virtuellen Maschine ausgeführt. Der Appliance wird eine IP-Adresse zugewiesen und verschiedene Ports werden für den Zugriff auf die verschiedenen Ressourcen verwendet. Das folgende Diagramm zeigt, wie die verschiedenen Funktionen miteinander kommunizieren.

Docker-Hostname / IP-Adresse und IP-Service-Konnektivität

Add-On-Anwendungen, die auf der ALB-X eingesetzt werden, kommunizieren mit der ALB-X über eine interne docker0-Netzwerkschnittstelle. Ihnen werden automatisch IP-Adressen aus dem internen docker0-Pool zugewiesen. Ein Hostname für jede Instanz der Add-On-Anwendung wird vor dem Start der Anwendung über die ALB-X-GUI konfiguriert. ALB-X ist in der Lage, die docker0-IP-Adresse für die Anwendung anhand dieses internen Hostnamens aufzulösen. Verwenden Sie bei der Adressierung der Anwendungscontainer immer den Hostnamen – IPs können sich ändern! IP-Dienste, die die private IP-Adresse Azure eth0 verwenden, werden auf dem ALB-X konfiguriert, um den externen Zugriff auf die Add-on-Anwendung zu ermöglichen. Dies ermöglicht die Verwendung der ALB-X-Reverse-Proxy-Funktion zur Durchführung von SSL-Offload und Port-Übersetzung, falls erforderlich. Dies sind also alle offenen Ports:

ALB-X GUI Management: 27376 DVWA: 80

Zugriff auf die Test Drive GUI

Wenn Sie einen Test Drive anfordern, wird eine neue Instanz der DVWA-Test-Appliance in Azure erstellt. Nach dem Start wird Ihnen der Internet-Hostname mitgeteilt, damit Sie auf die Web-GUI der ALB-X-Plattform zugreifen können, sowie die eindeutige Kombination aus Benutzername und Passwort. Wir empfehlen den Chrome-Browser für diesen Zweck zu verwenden. Zugriff auf den Server

https://host name:27376

Da wir ein lokales SSL-Zertifikat für den Management-Zugang verwenden, werden Sie in Ihrem Browser aufgefordert, die Sicherheitsmeldung zu akzeptieren. Nach der Anmeldung sehen Sie den Bildschirm zur Vorkonfiguration der IP-Dienste.

ALB-X Add-Ons

Klicken Sie im linken Menü auf Bibliothek und wählen Sie Add-Ons. Hier sehen Sie das DVWA-Add-On, das auf der ALB-X-Plattform bereitgestellt wurde. Es wurde mit einem Container- oder Hostnamen dvwa1 konfiguriert und Sie können die dynamische IP-Adresse 172.x.x.x docker0 sehen, die beim Start der Anwendung zugewiesen wurde. Beachten Sie, dass in der Azure-Umgebung die Schaltflächen für den Zugriff auf die Add-On-GUI nicht verwendet werden. Klicken Sie sich ruhig durch den Rest der ALB-X-GUI-Oberfläche, um sich mit ihr vertraut zu machen.

Damn Vulnerable Web App

Da Sie sich für die DVWA-Funktionalität interessieren, wäre es jetzt sinnvoll, einen Blick auf die DVWA-GUI zu werfen. Der DVWA läuft, wie Sie aus der Bezeichnung der IP-Dienste ersehen können, auf Port 80. Wenn Sie die Adresse Ihres Testlaufwerks in Ihren Browser eingeben, wird Ihnen die Seite DVWA Setup angezeigt. Klicken Sie auf Datenbank erstellen / zurücksetzen

Melden Sie sich bei DVWA mit den Standard-Anmeldedaten admin / Passwort an.

Sie sind nun bei DVWA als admin angemeldet. Die Standard-Sicherheitsstufe für DVWA ist „Unmöglich“, so dass es keine Schwachstellen aufweist.

Setzen Sie die Stufe auf „Niedrig“, indem Sie auf das DVWA-Sicherheitsmenü klicken, „Niedrig“ aus dem Dropdown-Menü auswählen und auf „Absenden“ klicken.

DVWA ist nun vollständig vorbereitet und bereit für die Verwendung als Schwachstellen-Testziel.

Command Injection

Wir werden versuchen, eine der DVWA-Schwachstellen auszunutzen. Wie wir sehen können, gibt es eine Seite in DVWA, auf der wir jede IP-Adresse anpingen können. Prüfen wir, ob DVWA die Validierung der Eingabeparameter im Sicherheitsmodus „Niedrig“ durchführt. Geben Sie „127.0.0.1; cat /etc/passwd“ in das Eingabefeld für die IP-Adresse ein. Voilà, wir haben erfolgreich einen beliebigen Befehl injiziert und eine Liste der im Betriebssystem registrierten Benutzer erhalten. Es gibt viele Online-Ressourcen über die Verwendung von DVWA, die Ihnen helfen können, Ihre Kenntnisse über die Sicherheit von Webanwendungen zu verbessern. Wir freuen uns über Ihr Feedback und unterstützen Sie gerne bei der Einrichtung Ihrer eigenen WAF-Implementierung. Für Unterstützung wenden Sie sich bitte an [email protected]