-Hoe zou je een website aanvallen?
Je kunt de methoden die we tot nu toe hebben geleerd gebruiken om
een website aan te vallen, want we zeiden
dat een website op een computer is geïnstalleerd,
dus je kunt proberen die aan te vallen en te hacken net als een andere computer,
dus je kunt proberen de aanvallen aan de serverzijde te
gebruiken, om de aanvallen
aan de serverzijde te gebruiken, proberen
de webserver te zien geïnstalleerd het besturingssysteem alle andere
toepassingen en kijken of je kunt gebruiken of een van hen
kwetsbaarheden heeft, en of je een van hen kunt gebruiken om toegang te krijgen
tot de computer.
Een andere manier is het gebruik van
aanvallen aan de serverzijde en aan de clientzijde,
want websites worden beheerd door mensen, dus
er moeten mensen zijn die deze websites beheren en
onderhouden, dus als je erin slaagt een van de beheerders
van deze website te hacken, dan kun je waarschijnlijk
hun gebruikersnaam en een wachtwoord krijgen en van daaruit
inloggen op hun beheerderspaneel of op SSH, op alle diensten
die zij gebruiken om hun website te beheren.
Als beide manieren mislukken, dan kun je proberen de webapplicatie
te testen, want zoals ik al zei, de webapplicatie
is gewoon een applicatie die op die website is geïnstalleerd.
Dus je doelwit is misschien niet de webapplicatie,
maar een persoon die die website gebruikt, maar je zult nooit
toegang krijgen tot de computer
van die persoon.
Dus wat je doet is, je gaat naar zijn
website hacken,
en van daaruit naar jouw persoon.
Dus, al deze dingen waar we het over
hebben zijn allemaal met elkaar verbonden
en je kunt een van hen gebruiken om
te privilegeren en dan naar een andere plaats of computer te gaan.
Dus, in dit deel gaan we het
niet hebben over de server en de client
side attacks, want dat
heb je al geleerd.
Waar we het over gaan hebben is het testen van de veiligheid
van de website applicatie zelf.
Dus mijn doel wordt deze Metasploitable machine.
En als we er een ifconfig op doen zie je
dat zijn IP 10 is. 20. 14. 204 en alle website
bestanden zijn opgeslagen in een directory
genaamd: var/www en je kunt zien dat we mijn onze
php. info en we hebben mutillidae, dvwa
en phpMyAdmin en we hebben mutillidae,
dvwa en phpMyAdmin dus als we naar de Kali machine gaan of naar een willekeurige machine
en proberen naar een willekeurige machine op hetzelfde
netwerk te gaan, uiteraard, en
proberen naar, laten we de browser openen,
en als we naar 10 gaan.
20. 14. 204
10. 20. 14. 204
10. 20. 14. 204 Je zult
zien dat we hier een website hebben gemaakt
voor Metasploitable.
Zoals u ziet is een website dus gewoon een
toepassing die op de webbrowser is geïnstalleerd.
En je ziet dat je hier toegang hebt tot
elk van deze websites en ze kunt gebruiken
en hun veiligheid kunt testen.
Een ander ding is dat de DVWA een gebruikersnaam en een wachtwoord gebruikt
om in te loggen,
en de gebruikersnaam is: admin en het wachtwoord is:
password en als je dat eenmaal
gezet hebt, dan kun je inloggen.
U kunt ook de beveiligingsinstellingen
aanpassen, dus als u naar de DVWA Beveiliging gaat,
zet ik die op laag, en ik zal
altijd zo laag gebruiken in de komende
secties, omdat dit slechts een inleidende
cursus is, dus we gaan het alleen hebben over de basismanieren om kwetsbaarheden in een webapplicatie
te ontdekken.
En hetzelfde met de mutillidae webapplicatie.
Dus als we hierheen
gaan, zorg ervoor dat je beveiliging op laag
staat, dus mijn beveiliging staat hier op nul.