-: Come attaccheresti un sito web?
Puoi utilizzare i metodi che abbiamo appreso finora nell'attaccare un
sito Web perché abbiamo detto che
un sito Web è installato su un computer
in modo da poter provare ad attaccarlo e provare a hackerarlo
proprio come un altro computer, quindi puoi provare a
utilizzare il
attacchi lato server, per usare gli attacchi
lato server, prova a vedere il web server installato sul sistema
operativo tutte le altre applicazioni e vedi se puoi
usare se qualcuno di loro ha
delle vulnerabilità e se
puoi usarne uno per ottenere l'accesso al computer.
Un altro modo è quello di
utilizzare gli attacchi lato server e gli attacchi lato
client perché i siti Web sono gestiti da umani,
quindi ci devono essere umani che gestiscono questi siti Web
e li mantengono, quindi se sei riuscito a hackerare uno qualsiasi
degli amministratori di questo sito Web, allora tu probabilmente
sarà in grado di ottenere il
loro nome utente e
una password e quindi da lì, accedere al loro pannello di
amministrazione o a SSH, a tutti i
servizi che usano per gestire il loro sito Web.
Se entrambi questi modi falliscono, allora quello che puoi fare
è provare a provare l'applicazione web
perché, come ho detto, l'applicazione Web è solo un'applicazione installata
su quel sito web.
Quindi il tuo target potrebbe in realtà non essere l'applicazione
web, forse il tuo target era solo una persona che utilizza quel sito Web, ma
non sarai mai in grado di
ottenere, ottenere l'accesso al computer di quella persona.
Quindi, quello che fai è andare al suo sito
Web, hackerare il
suo sito Web e da lì andare alla tua persona.
Quindi, tutte queste cose di cui
stiamo parlando sono tutte interconnesse, quindi
puoi usarne una per
privilegiare e poi raggiungere un altro posto o un altro computer.
Quindi, in questa sezione
non parleremo del server e degli
attacchi lato
client perché l'hai già imparato.
Quello di cui parleremo è testare la
sicurezza dell'applicazione stessa del sito web.
Quindi il mio obiettivo sarà questa macchina Metasploitable.
E se facciamo un ifconfig su di esso vedrai
che l'IP è 10. 20. 14. 204 e
tutti i file dei siti Web sono memorizzati
in una directory chiamata: var / www e puoi vedere
che abbiamo il nostro php. info e abbiamo mutillidae,
dvwa e phpMyAdmin
e abbiamo mutillidae, dvwa e phpMyAdmin quindi se andiamo sulla macchina Kali
o su qualsiasi macchina e proviamo ad andare
su qualsiasi macchina sulla
stessa rete, ovviamente, e proviamo ad
andare su, apriamo il browser e
se andiamo a
10.
20. 14.
204 10. 20. 14. 204
10. 20. 14.
204 10. 20. 14.
204 vedrai che qui abbiamo creato
un sito Web per Metasploitable.
Come puoi vedere, un sito
Web è solo un'applicazione installata sul browser web.
E puoi vedere che puoi accedere a
uno di questi siti Web proprio
qui e usarlo e testare la sua sicurezza.
Un'altra cosa è che DVWA utilizza un nome utente e una password per accedere,
e il
nome utente è: admin per accedere, e il nome utente
è: admin e la password
è: password e una volta che lo hai inserito, puoi accedere.
Puoi anche modificare le impostazioni di
sicurezza, quindi se vai su DVWA Security lo imposterò
su basso, e lo
userò sempre come basso nelle prossime
sezioni perché siamo solo questo è solo un
corso introduttivo , quindi parleremo solo
dei modi di base
per
scoprire i modi di base
per scoprire le vulnerabilità di un'applicazione Web.
E lo stesso con l'applicazione web mutillidae.
Quindi, se ci andiamo
qui, assicurati che la tua sicurezza sia impostata su
bassa, quindi la mia sicurezza è impostata su zero proprio qui.