-: Wie würden Sie eine Website angreifen?
Sie können die Methoden verwenden, die wir bisher für den
Angriff auf eine Website kennengelernt haben,
da eine Website auf einem Computer installiert ist,
sodass Sie versuchen können, sie anzugreifen und sie wie einen anderen
Computer zu hacken. Sie können also versuchen, die zu
verwenden Server-seitige
Angriffe Um die Server-seitigen Angriffe zu verwenden,
versuchen Sie, festzustellen, ob auf dem Webserver das Betriebssystem und alle
anderen Anwendungen installiert sind. Prüfen Sie, ob eine dieser
Anwendungen Sicherheitslücken aufweist und ob Sie
eine dieser Anwendungen verwenden
können, um Zugriff zu erhalten an den Computer.
Eine andere Möglichkeit besteht darin, die
serverseitigen Angriffe und die clientseitigen Angriffe zu verwenden,
da Websites von Menschen verwaltet werden. Es
muss also Menschen geben, die diese Websites verwalten
und pflegen. Wenn Sie es also geschafft haben, einen
der Administratoren dieser Website zu hacken, dann Sie
Möglicherweise können Sie ihren Benutzernamen
und ein Kennwort
abrufen und sich von dort aus bei ihrem Admin-Bereich oder
bei SSH bei allen Diensten anmelden,
die sie zur Verwaltung ihrer Website verwenden.
Wenn beide Methoden fehlschlagen, können Sie versuchen, die Webanwendung zu
testen. Wie bereits erwähnt, handelt es
sich bei der Webanwendung lediglich um eine Anwendung, die auf
dieser Website installiert ist.
Ihr Ziel ist also möglicherweise nicht die Webanwendung.
Vielleicht war Ihr Ziel nur eine Person, die diese Website verwendet, aber Sie
werden niemals in der Lage
sein, auf den Computer dieser Person zuzugreifen.
Also, was Sie tun, ist, gehen Sie zu seiner
Website, hacken Sie
in seine Website und gehen Sie von dort zu Ihrer Person.
Also, all diese Dinge, über die wir sprechen,
sind alle miteinander verbunden, dann können Sie eines davon
verwenden, um Privilegien zu vergeben und
sich dann auf den Weg zu einem anderen Ort oder zu einem anderen Computer zu machen.
In diesem Abschnitt werden
wir also nicht über Server- und
Client-Angriffe sprechen, da
Sie das bereits gelernt haben.
Worüber wir sprechen werden, ist das Testen
der Sicherheit der Website-Anwendung selbst.
Mein Ziel wird also diese metasploeable Maschine sein.
Und wenn wir eine ifconfig machen, werden Sie sehen, dass
die IP 10 ist. 20. 14. 204 und
alle Dateien der Website werden in einem Verzeichnis mit
dem Namen: var / www gespeichert und Sie können sehen,
dass wir mein PHP haben. info und wir haben
mutillidae, dvwa und
phpMyAdmin und wir haben mutillidae, dvwa und phpMyAdmin. Wenn wir also
zur Kali-Maschine oder zu irgendeiner Maschine gehen
und versuchen, zu irgendeiner
Maschine im selben Netzwerk zu gehen,
öffnen wir der Browser, und wenn
wir zu 10
gehen.
20. 14.
204 10. 20. 14. 204
10. 20. 14.
204 10. 20. 14.
204 Sie werden sehen, dass wir hier
eine Website für Metasploitable haben.
Wie Sie sehen können, ist eine
Website nur eine Anwendung, die auf dem Webbrowser installiert ist.
Und Sie können sehen, dass Sie direkt
hier auf jede dieser Websites zugreifen
und sie verwenden und ihre Sicherheit testen können.
Eine andere Sache ist, dass der DVWA einen Benutzernamen und ein Kennwort verwendet, um
sich anzumelden,
und der Benutzername lautet: admin, um sich anzumelden, und der Benutzername
lautet: admin, und das Kennwort
lautet: password. Sobald Sie dies eingegeben haben, können Sie sich anmelden.
Sie können die Sicherheitseinstellungen auch so
ändern, dass ich sie bei Aktivierung der DVWA-Sicherheit auf
niedrig einstellen und in
den kommenden Abschnitten immer so niedrig
verwenden werde, da es sich nur um einen
Einführungskurs handelt Wir werden uns also
nur mit den grundlegenden
Methoden
zum Ermitteln der grundlegenden Methoden
zum Ermitteln von Sicherheitslücken in Webanwendungen befassen.
Und das Gleiche gilt für die Webanwendung mutillidae.
Wenn wir also
hier hingehen, stellen Sie sicher, dass Ihre Sicherheit auf
niedrig eingestellt ist, sodass meine Sicherheit hier auf Null gesetzt ist.