-: Jak zaatakowałbyś stronę internetową?
Możesz użyć metod, których nauczyliśmy się do tej pory,
do atakowania strony internetowej, ponieważ
powiedzieliśmy, że strona internetowa jest zainstalowana na
komputerze, więc możesz spróbować ją zaatakować i zhakować tak jak
inny komputer, abyś mógł użyć ataki po stronie
serwera, aby
użyć ataków po stronie serwera, spróbuj
zobaczyć, jak serwer WWW zainstalował system operacyjny we wszystkich innych
aplikacjach i sprawdź, czy możesz użyć, jeśli którakolwiek
z nich ma jakieś luki, i
czy możesz użyć dowolnej
z nich, aby uzyskać dostęp do komputera.
Innym sposobem jest użycie ataków
po stronie serwera i ataków po stronie
klienta, ponieważ witryny są zarządzane przez
ludzi, więc muszą istnieć ludzie zarządzający tymi witrynami
i zarządzający nimi, więc jeśli udało Ci się
zhakować któregokolwiek z administratorów tej witryny, prawdopodobnie
będą mogli uzyskać swoją
nazwę użytkownika i
hasło, a następnie stamtąd zalogować się do panelu administracyjnego
lub SSH, do dowolnych usług,
których używają do zarządzania swoją witryną.
Jeśli oba te sposoby zawiodą, możesz spróbować
przetestować aplikację internetową, ponieważ, jak
powiedziałem, aplikacja internetowa jest tylko aplikacją zainstalowaną na
tej stronie internetowej.
Tak więc twoim celem może nie być aplikacja
internetowa, może twoim celem była tylko osoba korzystająca z tej witryny, ale
nigdy nie będziesz w stanie
uzyskać, uzyskać dostępu do komputera tej osoby.
Więc robisz to, przechodzisz do jego
hacka na
swojej stronie, a stamtąd przechodzisz do swojej osoby.
Więc wszystkie te rzeczy, o których
mówimy, są ze sobą powiązane, możesz
użyć jednej z nich,
aby uprzywilejować, a następnie przejść do innego miejsca lub innego komputera.
Więc w tej sekcji
nie będziemy mówić o atakach na
serwer i kliencie,
ponieważ już się tego nauczyłeś.
Będziemy rozmawiać o testowaniu bezpieczeństwa
samej aplikacji internetowej.
Więc moim celem będzie maszyna Metasploitable.
A jeśli zrobimy na nim jeden ifconfig, zobaczysz, że jego
adres IP to 10. 20 14 204
i wszystkie pliki stron internetowych są przechowywane
w katalogu o nazwie: var / www i widać,
że mamy mój php. info i mamy mutillidae,
dvwa i phpMyAdmin
i mamy mutillidae, dvwa i phpMyAdmin, więc jeśli pójdziemy do maszyny
Kali lub na dowolną maszynę i spróbujemy
przejść na dowolną maszynę
w tej samej sieci, oczywiście, i
spróbujemy przejść do, otwórzmy przeglądarkę, a
jeśli przejdziemy do
10.
20 14
204 10. 20 14 204
10. 20 14
204 10. 20 14
204 zobaczysz, że mamy tutaj stronę
internetową stworzoną dla Metasploitable.
Jak widać, strona internetowa
to tylko aplikacja zainstalowana w przeglądarce internetowej.
I możesz zobaczyć, że możesz uzyskać dostęp
do dowolnej z tych witryn tutaj
i korzystać z niej i przetestować jej bezpieczeństwo.
Inną sprawą jest to, że DVWA używa nazwy użytkownika i hasła do
logowania, a
nazwa użytkownika to: admin, aby się zalogować, a nazwa
użytkownika to: admin, a
hasło to: hasło, a kiedy je wprowadzisz, możesz się zalogować.
Możesz również zmodyfikować ustawienia zabezpieczeń, więc
jeśli przejdziesz do DVWA Security, ustawię go na
niski i zawsze
będę używać tak niskiego poziomu
w nadchodzących sekcjach, ponieważ tylko to
jest tylko kurs wprowadzający ,
więc będziemy mówić
tylko
o podstawowych sposobach odkrywania podstawowych
sposobów wykrywania luk w aplikacjach internetowych.
To samo dotyczy aplikacji internetowej mutillidae.
Więc jeśli przejdziemy do
tego tutaj, upewnij się, że twoje bezpieczeństwo jest ustawione
na niskim poziomie, więc moje bezpieczeństwo jest ustawione na zero tutaj.