Ověření etických hackerských dovedností je nejlépe provést praktickým testováním.
Pro odborníky na etický hacking a penetrační testování může být náročné legálně otestovat své schopnosti. Proto jsou webové stránky záměrně navržené jako nezabezpečené ideálním prostředím pro bezpečný trénink těchto dovedností.
Webové stránky a aplikace s úmyslnými bezpečnostními mezerami vytvářejí skvělou základnu pro učení. Noví hackeři se na nich mohou naučit, jak odhalovat zranitelnosti, zatímco bezpečnostní profesionálové a lovci odměn za nalezené chyby mohou zdokonalit své dovednosti a objevit nové slabiny.
Využití zranitelných webových aplikací
Používání těchto úmyslně vytvořených zranitelných webů a aplikací pro testování poskytuje bezpečný prostor pro legální provádění testů a zároveň zaručuje, že se pohybujete v mezích zákona. Tímto způsobem můžete provádět hackerské aktivity, aniž byste se dostali do situace, která by mohla vést k vašemu zatčení.
Tyto aplikace jsou navrženy tak, aby podpořily bezpečnostní nadšence v jejich učení a zdokonalování dovedností v oblasti informační bezpečnosti a penetračního testování.
V tomto článku představím několik typů aplikací, které byly záměrně vytvořeny jako nezabezpečené, často označované jako „zatraceně zranitelné“.
Webová aplikace Buggy, často označovaná zkratkou BWAPP, je bezplatný nástroj s otevřeným zdrojovým kódem. Jedná se o aplikaci napsanou v PHP, která jako backend používá databázi MySQL. BWAPP obsahuje více než 100 chyb, na kterých můžete pracovat, ať už se připravujete na konkrétní úkol nebo si jen chcete udržet své etické hackerské dovednosti na vysoké úrovni. Pokrývá všechny hlavní (a nejrozšířenější) bezpečnostní chyby.
Tento nástroj, který vychází z projektu OWASP Top 10, obsahuje více než 100 zranitelností a nedostatků v online aplikacích. Mezi tyto nedostatky patří například:
- Cross-Site Scripting (XSS) a Cross-Site Request Forgery (CSRF)
- Útoky DoS (Denial of Service)
- Útoky typu Man-in-the-middle
- Server-Side Request Forgery (SSRF)
- SQL, OS Command, HTML, PHP a SMTP Injection
Tato webová aplikace vám pomůže provádět legální etické hackování a penetrační testování.
BWAPP si můžete snadno stáhnout kliknutím sem.
Zatraceně zranitelná webová aplikace
Zatraceně zranitelná webová aplikace, běžně známá pod zkratkou DVWA, je vyvinuta v PHP a MySQL. Úmyslně je ponechána zranitelná, aby bezpečnostní profesionálové a etičtí hackeři mohli testovat své schopnosti, aniž by ohrozili cizí systémy. Pro spuštění DVWA je nutné mít nainstalovaný webový server, PHP a MySQL. Pokud ještě nemáte webový server nastavený, nejrychlejším způsobem instalace DVWA je stažení a instalace „XAMPP“. XAMPP je k dispozici ke stažení zde.
Tato zatraceně zranitelná webová aplikace nabízí několik zranitelností pro testování:
- Útok hrubou silou
- Provedení příkazu
- CSRF a zahrnutí souboru
- XSS a SQL injection
- Nezabezpečené nahrávání souboru
Hlavní výhodou DVWA je možnost nastavení úrovní zabezpečení pro praktické testování každé zranitelnosti. Každá úroveň zabezpečení vyžaduje specifické dovednosti. Bezpečnostní výzkumníci mohou zkoumat, co se děje na backendu, díky rozhodnutí vývojářů zveřejnit zdrojový kód. To je výborné pro výzkumníky, kteří se o těchto problémech učí a pomáhají ostatním se o nich dozvědět.
Google Gruyere
Slova „sýr“ a „hackování“ se běžně nevyskytují ve stejném kontextu, ale tato stránka je plná děr, stejně jako dobrý sýr. Gruyere je skvělá volba pro začátečníky, kteří se chtějí naučit, jak lokalizovat a využívat zranitelnosti a jak proti nim bojovat. Využívá také „sýrové“ kódování a celkový design se nese v duchu sýra.
zdroj obrázku: Google gruyere
Pro usnadnění je napsán v Pythonu a rozdělen do kategorií podle druhu zranitelnosti. Pro každý úkol je k dispozici stručný popis zranitelnosti, kterou máte objevit, využít a identifikovat pomocí hackování „černé“ nebo „bílé“ skříňky (nebo kombinací obou technik). Některé z nich jsou:
- Zveřejňování informací
- SQL injekce
- Falšování požadavků napříč weby
- Útoky typu denial-of-service
Přestože je nutná určitá předchozí znalost, je to ideální volba pro začátečníky.
WebGoat
Tento seznam zahrnuje další položku od OWASP, která je jednou z nejoblíbenějších. WebGoat je nebezpečný program, který můžete použít k získání informací o běžných problémech aplikací na straně serveru. Je navržen tak, aby pomáhal lidem učit se o zabezpečení aplikací a procvičovat techniky penetračního testování.
Každá lekce vás seznámí s konkrétní bezpečnostní chybou a následně vám umožní napadnout ji v aplikaci.
Některé z bezpečnostních chyb zahrnutých ve WebGoat jsou:
- Přetečení vyrovnávací paměti
- Nesprávné zpracování chyb
- Vady injekce
- Nezabezpečená komunikace a konfigurace
- Chyby ve správě relace
- Manipulace s parametry
Metasploitable 2
Mezi bezpečnostními výzkumníky je Metasploitable 2 nejčastěji využívanou online aplikací. K testování této aplikace mohou bezpečnostní nadšenci používat špičkové nástroje, jako je Metasploit a Nmap.
Hlavním účelem této zranitelné aplikace je testování sítě. Byla vytvořena podle vzoru populárního programu Metasploit, který bezpečnostní výzkumníci používají k odhalování bezpečnostních chyb. Můžete dokonce najít shell pro tento program. WebDAV, phpMyAdmin a DVWA jsou v této aplikaci integrovanými funkcemi.
Nemusí se vám zobrazit grafické uživatelské rozhraní aplikace, ale i tak můžete použít četné nástroje prostřednictvím terminálu nebo příkazového řádku k jejímu zneužití. Můžete se mimo jiné podívat na její porty, služby a verzi. To vám pomůže posoudit vaši schopnost naučit se ovládat nástroj Metasploit.
Zatraceně zranitelná aplikace pro iOS
DVIA je aplikace pro iOS, která umožňuje nadšencům, odborníkům a vývojářům mobilního zabezpečení procvičovat penetrační testování. Nedávno byla znovu vydána a nyní je volně dostupná na GitHubu.
V souladu s OWASP Top 10 mobilních rizik obsahuje DVIA typické zranitelnosti aplikací pro iOS. Je vyvinuta ve Swiftu a všechny zranitelnosti byly testovány až do iOS 11. K jejímu používání budete potřebovat Xcode.
Některé z funkcí dostupných v DVIA jsou:
- Detekce útěku z vězení
- Phishing
- Rozbitá kryptografie
- Manipulace za běhu
- Záplatování aplikací
- Binární záplatování
OWASP Mutillidae II
Mutillidae II je open-source a bezplatný program vyvinutý společností OWASP. Mnoho bezpečnostních nadšenců ho využívá, protože poskytuje snadno použitelné prostředí pro online hackování. Obsahuje řadu zranitelností a doporučení, která uživatelům pomáhají je využít. Tato webová aplikace je vhodná pro vás, pokud se bavíte penetračním testováním nebo hackováním.
Obsahuje různé zranitelnosti pro testování, včetně click-jackingu, obcházení autentizace a dalších. Sekce zranitelností zahrnuje také podkategorie, které nabízejí další možnosti.
Budete muset nainstalovat XAMPP na svém systému. Nicméně Mutillidae zahrnuje XAMPP. Je dokonce možné přepínat mezi bezpečným a nezabezpečeným režimem. Mutillidae je kompletní laboratorní prostředí, které obsahuje vše, co potřebujete.
Web Security Dojo
WSD je virtuální stroj s různými nástroji, jako je Burp Suite a ratproxy, a cílovými stroji (například WebGoat). Jedná se o open-source školicí prostředí založené na operačním systému Ubuntu 12.04. Pro některé cíle obsahuje také školicí materiály a uživatelské příručky.
K jeho používání není nutné spouštět žádné další nástroje; stačí vám tento virtuální stroj. Nejprve budete muset nainstalovat a spustit VirtualBox 5 (nebo novější), nebo můžete místo toho použít VMware. Poté importujte soubor OVA do VirtualBox/VMware a máte hotovo. Bude se chovat stejně jako jakýkoli jiný operační systém Ubuntu.
Tento virtuální stroj je ideální pro samostudium a učení se začátečníky, profesionály i pedagogy, kteří chtějí vyučovat zranitelnosti.
Závěr 😎
Před vstupem do profesionální sféry informační bezpečnosti je nezbytné získat praktické zkušenosti s nezabezpečenými aplikacemi. To vám pomůže rozvinout vaše schopnosti.
Také vám to pomůže identifikovat a procvičit vaše slabiny. Cvičením etického hackování na účelových aplikacích lépe porozumíte svým hackerským dovednostem a zjistíte, kde se nacházíte v oblasti bezpečnosti. Je užitečné sdílet informace. Pomocí těchto webových aplikací můžete ostatním ukázat, jak rozpoznat typické nedostatky webových aplikací.