Jak nainstalovat sakra zranitelnou webovou aplikaci na CentOS 8

DVWA také nazývaná „Damn Vulnerable Web App“ je bezplatná a zranitelná webová aplikace s otevřeným zdrojovým kódem. Je určen pro bezpečnostní profesionály, aby si otestovali své dovednosti a porozuměli bezpečnostním procesům webových aplikací. Poskytuje platformu pro experimentování s novými nástroji pro testování penetrace a pro procvičování nových technik zneužívání k využívání běžných zranitelností.

V tomto příspěvku vám ukážeme, jak nainstalovat zatraceně zranitelnou webovou aplikaci na server CentOS 8.

Předpoklady

• Server se systémem CentOS 8.
• Na serveru je nakonfigurováno heslo uživatele root.

Instalovat Apache, MariaDB a PHP

DVWA je aplikace založená na PHP a MySQL. Budete tedy muset na svůj server nainstalovat webový server Apache, MariaDB, PHP a další požadovaná rozšíření. Všechny je můžete nainstalovat pomocí následujícího příkazu:

dnf install httpd mariadb-server php php-pdo php-mysqlnd php-cli php-gd git -y

Jakmile jsou nainstalovány všechny potřebné balíčky, upravte soubor php.ini pomocí následujícího příkazu:

nano /etc/php.ini

Změňte následující řádky:

allow_url_fopen =Onallow_url_include =Ondisplay_errors =Vypnuto

Po dokončení uložte a zavřete soubor, poté spusťte službu Apache a MariaDB a povolte jim spuštění při restartu systému:

systemctl spustit httpd
systemctl povolit httpd
systemctl spustit mariadb
systemctl povolit mariadb

Jakmile budete hotovi, můžete přejít k dalšímu kroku.

Nakonfigurujte MariaDB

Dále budete muset vytvořit databázi a uživatele pro DVWA. Nejprve se připojte k MariaDB pomocí následujícího příkazu:

mysql

Jakmile se připojíte, vytvořte databázi a uživatele pomocí následujícího příkazu:

MariaDB [(none)]> vytvořit databázi dvwa;
MariaDB [(none)]> udělovat vše na dvwa.* [email protected] identifikovaný 'heslem';

Dále vyprázdněte oprávnění a ukončete MariaDB pomocí následujícího příkazu:

MariaDB [(none)]> flush oprávnění;
MariaDB [(none)]> exit;

Jakmile budete hotovi, můžete přejít k dalšímu kroku.

Stáhnout DVWA

Nejprve si budete muset stáhnout nejnovější verzi DVWA z úložiště Git. Můžete si jej stáhnout pomocí následujícího příkazu:

klon git https://github.com/ethicalhack3r/DVWA /var/www/html/

Po dokončení stahování změňte adresář na adresář config a zkopírujte vzorový konfigurační soubor:

cd /var/www/html/config/
cp config.inc.php.dist config.inc.php

Dále upravte konfigurační soubor pomocí následujícího příkazu:

nano /var/www/html/config/config.inc.php

Definujte podrobnosti o své databázi, jak je uvedeno níže:

$_DVWA[ 'db_server' ] ='127.0.0.1';$_DVWA[ 'db_database' ] ='dvwa';$_DVWA[ 'db_user' ] ='dvwa';$_DVWA[ 'db_password' ] =' Heslo'; # Budete si muset vygenerovat své vlastní klíče na adrese:https://www.google.com/recaptcha/admin$_DVWA[ 'recaptcha_public_key' ] ='6LewiQgbAAAAAEZlwAfH88bpdk1n06gn_Qc2Cyhb';$QgAAbAAk_prik_0w 

 Po dokončení uložte a zavřete soubor.
 

 Poznámka:Hodnoty opětovného zachycení můžete vygenerovat ze služby Google. 
 

 Dále nastavte správná oprávnění a vlastnictví kořenového adresáře Apache pomocí následujícího příkazu:
 
chown -R apache:apache /var/www/html
 

 Poté restartujte službu Apache a MariaDB, aby se změny projevily:
 
systemctl restart mariadb httpd
 

 V tomto okamžiku je DVWA nainstalováno a nakonfigurováno. Nyní můžete přejít k dalšímu kroku.
 
Konfigurovat SELinux a bránu firewall
 

 Ve výchozím nastavení je SELinux povolen v CentOS 8, takže budete muset nakonfigurovat SELinux pro přístup k DVWA.
 

 Spusťte následující příkaz pro konfiguraci SELinux:
 
setsebool -P httpd_unified 1
setsebool -P httpd_can_network_connect 1
setsebool -P httpd_can_network_connect_db 1
 

 Dále budete také muset povolit port 80 přes firewall. Můžete to povolit pomocí následujícího příkazu:
 
firewall-cmd --permanent --zone public --add-port 80/tcp
 

 Poté znovu načtěte firewall, aby se změny projevily:
 
firewall-cmd --reload
 

 V tomto okamžiku jsou SELinux a Firewalld nakonfigurovány tak, aby umožňovaly DVWA. Nyní můžete přejít k dalšímu kroku.
 
Přístup k webovému uživatelskému rozhraní DVWA
 

 Nyní otevřete webový prohlížeč a přejděte na webové rozhraní DVWA pomocí adresy URL http://ip-vaseho-serveru/setup.php . Budete přesměrováni na následující stránku:
 

 
 

 
 

 Dále klikněte na Obnovit/databázi pro konfiguraci nastavení připojení k databázi DVWA. Měli byste vidět následující stránku:
 

 
 

 Zadejte výchozí uživatelské jméno:admin, heslo:heslo a klikněte na Přihlásit knoflík. Na následující stránce byste měli vidět řídicí panel DVWA:
 

 
 
Závěr
 

 Gratulujeme! úspěšně jste nainstalovali DVWA s Apache na CentOS 8. Nyní můžete používat nové techniky k hackování běžných zranitelností. Neváhejte se mě zeptat, pokud máte nějaké otázky.