-: ¿Cómo atacarías un sitio web?
Puede usar los métodos que hemos aprendido hasta ahora para
atacar un sitio web porque dijimos
que un sitio web está instalado en una
computadora para que pueda intentar atacarlo e intentar hackearlo como otra computadora,
para que pueda intentar usar el ataques del lado
del servidor,
para usar los ataques del lado del
servidor, intente ver que el servidor web instaló el sistema operativo
todas las demás aplicaciones y vea si puede usar si
alguna de ellas tiene alguna vulnerabilidad, y
si puede usar alguna
de ellas para obtener acceso a la computadora.
Otra forma de hacerlo es usar
los ataques del lado del servidor y los ataques
del lado del cliente porque los sitios web
son administrados por humanos, por lo que debe haber humanos
administrando estos sitios web y manteniéndolos, así que si logras hackear
a cualquiera de los administradores de este sitio web,
entonces probablemente podrá obtener su
nombre de usuario y
una contraseña y luego, desde allí, iniciar sesión en su panel
de administración o en SSH, a cualquier
servicio que utilicen para administrar su sitio web.
Si ambas formas fallan, entonces lo que puede hacer es
intentar probar la aplicación web porque,
como dije, la aplicación web es solo una aplicación instalada
en ese sitio web.
Por lo tanto, su objetivo podría no ser la
aplicación web, tal vez su objetivo era solo una persona que usa ese
sitio web, pero nunca podrá
obtener acceso a la computadora de esa persona.
Entonces, lo que haces es ir a su
sitio web piratear
su sitio web, y de allí ir a tu persona.
Entonces, todas estas cosas de las
que estamos hablando están todas interconectadas, entonces
puede usar una de
ellas para privilegiar y luego dirigirse a otro lugar u otra computadora.
Entonces, en esta sección no vamos
a hablar sobre el servidor y los
ataques del lado
del cliente porque ya lo has aprendido.
De lo que hablaremos es de probar la seguridad
de la aplicación del sitio web.
Entonces mi objetivo será esta máquina Metasploitable.
Y si hacemos una ifconfig en ella, verá que
su IP es 10. 20) 14) 204 y
todos los archivos de sitios web se almacenan
en un directorio llamado: var / www y puede ver
que tenemos mi nuestro php. info y tenemos mutillidae,
dvwa y phpMyAdmin y
tenemos mutillidae, dvwa y phpMyAdmin, así que si vamos a la máquina Kali
o a cualquier máquina e intentamos ir a
cualquier máquina en la
misma red, obviamente, e intentamos ir
a, vamos a abrir el navegador, y
si vamos al
10.
20) 14)
204 10. 20) 14) 204
10. 20) 14)
204 10. 20) 14)
204 verá que aquí tenemos un
sitio web hecho para Metasploitable.
Como puede ver, un sitio web
es solo una aplicación instalada en el navegador web.
Y puede ver que puede acceder a
cualquiera de estos sitios web aquí
mismo y usarlo y probar su seguridad.
Otra cosa es que el DVWA utiliza un nombre de usuario y una contraseña para iniciar
sesión, y
el nombre de usuario es: admin para iniciar sesión, y el nombre
de usuario es: admin y la
contraseña es: contraseña y una vez que la ingresas, puedes iniciar sesión.
También puede modificar la configuración de seguridad,
por lo que si va a DVWA Security, la estableceré
en baja, y siempre
la usaré en las próximas secciones
porque solo se trata de un curso introductorio.
, así que solo vamos a
hablar sobre las formas
básicas
de descubrir las formas básicas de
descubrir las vulnerabilidades de una aplicación web.
Y lo mismo con la aplicación web mutillidae.
Entonces, si vamos
aquí, asegúrese de que su seguridad esté configurada en
baja, de modo que mi seguridad esté configurada en cero aquí.