何ですか？
テストドライブへようこそ – このドキュメントでは、Azure で Damn Vulnerable Web App (DVWA) テストドライブを最大限に活用するための情報を提供します。
Get your test drive here:
DVWA は PHP/MySQL Web アプリケーションで、セキュリティ専門家が法的環境でスキルとツールをテストするための補助となることを主目的としたものです。 私たちは、DVWA の展開をできるだけ簡単にすることを試み、edgeNEXUS ALB-X ロードバランサーに簡単に適用できる機能アドオンを構築しました。
How
ALB-Xには、直接またはロードバランサー プロキシを使用して結合できるコンテナー化したアプリケーションを実行できる能力があります。 このイメージには1つのAdd-Onが既にデプロイされていますが、Appstoreにアクセスし、さらにデプロイすることができます。 
Connectivity Overview
Azure クラウドに展開された仮想マシンは、標準のデータ センター環境に展開されたものと同様に、プライベート内部 IP アドレス (NAT された IP) を使用します。 パブリックインターネット経由でリソースにアクセスするために、割り当てられたパブリックIPアドレスから仮想マシンのプライベートIPアドレスにNAT機能が実行されます。 アプライアンスには1つのIPアドレスが割り当てられ、さまざまなリソースにアクセスするために異なるポートが使用されます。 下図は、異なる機能がどのように通信するかを示しています。 
ドッカーホスト名/IPアドレスとIPサービス接続
ALB-X上に展開されたアドオンアプリケーションは、内部のdocker0ネットワークインターフェイスを通じてALB-Xと通信します。 それらは内部docker0プールから自動的にIPアドレスが割り当てられます。 アドオンアプリケーションの各インスタンスのホスト名は、アプリケーションの起動前にALB-X GUIで設定されます。 ALB-Xは、この内部ホスト名を使用してアプリケーションのdocker0 IPアドレスを解決することができます。 アプリケーションコンテナをアドレス指定するときは、常にホスト名を使用してください – IPは変更される可能性があります! Azure eth0 プライベート IP アドレスを使用した IP サービスは、アドオンアプリケーションへの外部アクセスを可能にするために ALB-X で設定されます。 これにより、ALB-X のリバースプロキシ機能を利用し、必要に応じて SSL オフロードやポート変換を行うことができます。
ALB-X GUI Management: 27376 DVWA: 80
Accessing the Test Drive GUI
テストドライブをリクエストすると、DVWA テストアプライアンスの新しいインスタンスが Azure に作成されます。 起動すると、ALB-XプラットフォームのWeb GUIにアクセスするためのインターネットホスト名と、固有のユーザー名とパスワードの組み合わせが通知されます。 
この目的のためにChromeブラウザーを使用することをお勧めします。 サーバーにアクセスする
https://host name:27376
管理アクセスにローカルSSL証明書を使用しているので、セキュリティ警告を受け入れるようブラウザにプロンプトが表示されます。 ログインすると、IPサービスの事前設定画面が表示されます。 
ALB-X Add-Ons
左メニューのLibraryをクリックし、Add-Onsを選択します。 ここでは、ALB-Xプラットフォームに展開されたDVWA Add-Onを見ることができます。 コンテナまたはホスト名dvwa1が設定され、アプリケーションの起動時に割り当てられた172.x.x.xの動的docker0 IPアドレスが確認できます。 Azure 環境では、Add-On GUI のアクセスボタンは使用されていないことに注意してください。
Damn Vulnerable Web App
あなたが興味を持っているのはDVWA機能なので、DVWA GUIを見ることは理にかなっていると思います。 IPサービス名からわかるように、DVWAはポート80で実行されます。 ブラウザでテストドライブのアドレスを入力すると、DVWAセットアップページが表示されます。 
データベースの作成/リセットをクリックします 
デフォルトの認証admin / passwordでDVWAにログインします。
あなたは今、adminとしてDVWAにログインしています。
DVWA セキュリティ メニューをクリックして、ドロップダウンから「低」を選択し、送信をクリックして、レベルを低に設定する必要があります。
これでDVWAはすべて準備完了で、脆弱性テストの対象として使用する準備が整いました。 見ての通り、DVWAには任意のIPアドレスにpingを打つことができるページがあります。 DVWAが “低 “セキュリティモードで入力パラメータ検証を実行するかどうか確認してみましょう。 IPアドレスの入力欄に「127.0.0.1; cat /etc/passwd」を入力します。 これで、任意のコマンドを注入し、OSに登録されているユーザーのリストを取得することに成功しました。 DVWAの使用に関する多くのオンラインリソースがあり、ウェブアプリケーションのセキュリティスキルを向上させるのに役立つかもしれません。 私たちはあなたのフィードバックを歓迎し、あなた自身の本番WAF実装のセットアップを喜んで支援します。 サポートが必要な場合は、[email protected]
までメールしてください。