-: คุณจะโจมตีเว็บไซต์อย่างไร?
คุณสามารถใช้วิธีที่เราได้เรียนรู้มาจนถึงการโจมตีเว็บไซต์
เพราะเราบอกว่ามีการติดตั้งเว็บไซต์บนคอมพิวเตอร์
ดังนั้นคุณสามารถลองโจมตีและพยายามแฮ็คมันเหมือนกับคอมพิวเตอร์เครื่องอื่น ดังนั้นคุณสามารถลองใช้
การโจมตีฝั่งเซิร์ฟเวอร์ เพื่อใช้การโจมตีทางฝั่งเซิร์ฟเวอร์ พยายามดูเว็บเซิร์ฟเวอร์ติดตั้งระบบปฏิบัติการ แอพพลิเคชั่นอื่น ๆ ทั้งหมด และดูว่าคุณสามารถใช้ได้หรือไม่หากมีช่องโหว่ใด
ๆ หรือไม่และคุณสามารถใช้สิ่งใด ๆ เพื่อเข้าถึง กับคอมพิวเตอร์
อีกวิธีหนึ่งคือใช้การโจมตีฝั่งเซิร์ฟเวอร์และการโจมตีทางฝั่งไคลเอ็นต์
เนื่องจากเว็บไซต์ได้รับการจัดการโดยมนุษย์
ดังนั้นจะต้องมีมนุษย์มาจัดการเว็บไซต์เหล่านี้และดูแลเว็บไซต์เหล่านี้ ดังนั้นหากคุณแฮ็คผู้ดูแลระบบคนใดคนหนึ่งของเว็บไซต์นี้ได้ อาจจะสามารถรับชื่อผู้ใช้และรหัสผ่าน
จากนั้นลงชื่อเข้าใช้แผงการดูแลระบบหรือ SSH ไปยังบริการใด ๆ ที่พวกเขาใช้ในการจัดการเว็บไซต์ของตน
หากทั้งสองวิธีนี้ล้มเหลว สิ่งที่คุณทำได้คือลองทดสอบเว็บแอปพลิเคชัน
เพราะอย่างที่ฉันพูด เว็บแอปพลิเคชันเป็นเพียงแอปพลิเคชันที่ติดตั้งบนเว็บไซต์นั้น
ดังนั้น เป้าหมายของคุณอาจไม่ใช่เว็บแอปพลิเคชัน
บางทีเป้าหมายของคุณอาจเป็นแค่ผู้ที่ใช้เว็บไซต์นั้น แต่คุณจะไม่สามารถเข้าถึงคอมพิวเตอร์ของบุคคลนั้นได้
สิ่งที่คุณทำคือ คุณไปที่เว็บไซต์ของเขาเพื่อแฮ็คเข้าไปในเว็บไซต์ของเขา
และจากที่นั่นไปที่คนของคุณ
ดังนั้น สิ่งเหล่านี้ทั้งหมดที่เรากำลังพูดถึง
ล้วนเชื่อมต่อถึงกัน คุณสามารถใช้หนึ่งในนั้นเพื่อเป็นสิทธิพิเศษ จากนั้นจึงเดินทางไปยังที่อื่นหรือไปยังคอมพิวเตอร์เครื่องอื่น
ดังนั้น ในส่วนนี้เราจะไม่พูดถึงเซิร์ฟเวอร์และการโจมตีฝั่งไคลเอ็นต์
เพราะคุณได้เรียนรู้แล้ว
สิ่งที่เราจะพูดถึงคือการทดสอบความปลอดภัยของแอปพลิเคชันเว็บไซต์เอง
ดังนั้นเป้าหมายของฉันคือเครื่อง Metasploitable
และถ้าเราทำอย่างใดอย่างหนึ่ง ifconfig กับมัน คุณจะเห็นว่าเป็น
IP ที่ 10 20. 14. 204 และไฟล์เว็บไซต์ทั้งหมดถูกเก็บไว้ในไดเร็กทอรีชื่อ:
var/www และคุณจะเห็นว่าเรามีไฟล์ php.ini ของฉัน
ข้อมูลและเรามี
mutillidae, dvwa และ phpMyAdmin
และเรามี mutillidae, dvwa และ phpMyAdmin ดังนั้นหากเราไปที่เครื่อง Kali
หรือเครื่องใดๆ แล้วลองไปที่เครื่องใดๆ ในเครือข่ายเดียวกัน และลองไปที่ ให้เปิด บราวเซอร์ และถ้าเราไปที่
10
20. 14. 204
10. 20. 14. 204
10. 20. 14. 204 คุณจะเห็นว่าเรามีเว็บไซต์ที่สร้างขึ้นสำหรับ
Metasploitable ที่นี่
อย่างที่คุณเห็น เว็บไซต์เป็นเพียงแอปพลิเคชันที่ติดตั้งบนเว็บเบราว์เซอร์
และคุณจะเห็นว่าคุณสามารถเข้าถึงเว็บไซต์ใดๆ
เหล่านี้ได้ที่นี่ และใช้งานและทดสอบความปลอดภัย
อีกสิ่งหนึ่งคือ DVWA ใช้ชื่อผู้ใช้และรหัสผ่านเพื่อเข้าสู่ระบบ และชื่อผู้ใช้คือ:
ผู้ดูแลระบบเพื่อเข้าสู่ระบบ และชื่อผู้ใช้คือ: ผู้ดูแลระบบและรหัสผ่านคือ: รหัสผ่าน
และเมื่อคุณใส่แล้ว คุณสามารถเข้าสู่ระบบได้
คุณยังสามารถแก้ไขการตั้งค่าความปลอดภัยได้
ดังนั้นหากคุณใช้ DVWA Security ฉันจะตั้งค่าให้ต่ำ
และฉันจะใช้ให้ต่ำที่สุดในหัวข้อถัดไปเสมอ เพราะเราเป็นเพียงหลักสูตรเบื้องต้นเท่านั้น
ดังนั้นเราจะพูดถึงวิธีพื้นฐานในการค้นหาวิธีพื้นฐานในการค้นหาช่องโหว่ของเว็บแอปพลิเคชันเท่านั้น
และเช่นเดียวกันกับเว็บแอปพลิเคชัน mutillidae
ดังนั้นถ้าเราไปที่นี่ ตรวจสอบให้แน่ใจว่าการรักษาความปลอดภัยของคุณถูกตั้งไว้ที่ระดับต่ำ
ความปลอดภัยของฉันจึงถูกตั้งไว้ที่ศูนย์ตรงนี้