xvwa

เว็บแอปพลิเคชันที่มีช่องโหว่ Xtreme (XVWA)

XVWA เป็นเว็บแอปพลิเคชันที่มีโค้ดไม่ดีซึ่งเขียนด้วย PHP/MySQL ซึ่งช่วยให้ผู้ชื่นชอบความปลอดภัยได้เรียนรู้ความปลอดภัยของแอปพลิเคชัน ไม่แนะนำให้โฮสต์แอปพลิเคชันนี้ทางออนไลน์ เนื่องจากได้รับการออกแบบมาให้มี "ช่องโหว่ระดับ Xtremely" เราขอแนะนำให้โฮสต์แอปพลิเคชันนี้ในสภาพแวดล้อมภายใน/สภาพแวดล้อมที่มีการควบคุม และเพิ่มพูนทักษะนินจาด้านความปลอดภัยของแอปพลิเคชันของคุณด้วยเครื่องมือที่คุณเลือกเอง การเจาะหรือแฮ็กข้อมูลนี้เป็นสิ่งที่ถูกกฎหมาย แนวคิดนี้คือการประกาศความปลอดภัยของเว็บแอปพลิเคชันให้กับชุมชนด้วยวิธีที่ง่ายที่สุดและเป็นพื้นฐาน เรียนรู้และรับทักษะเหล่านี้เพื่อจุดประสงค์ที่ดี วิธีที่คุณใช้ทักษะและฐานความรู้เหล่านี้ไม่ใช่ความรับผิดชอบของเรา

XVWA ได้รับการออกแบบมาเพื่อทำความเข้าใจปัญหาด้านความปลอดภัยต่อไปนี้

• การฉีด SQL – ตามข้อผิดพลาด
• การฉีด SQL – ตาบอด
• การฉีดคำสั่ง OS
• การฉีด XPAT
• สูตรฉีด
• การแทรกวัตถุ PHP
• อัพโหลดไฟล์ได้ไม่จำกัด
• สะท้อนการเขียนสคริปต์ข้ามไซต์
• การเขียนสคริปต์ข้ามไซต์ที่เก็บไว้
• การเขียนสคริปต์ข้ามไซต์ตาม DOM
• การปลอมแปลงคำขอฝั่งเซิร์ฟเวอร์ (การโจมตีข้ามไซต์พอร์ต)
• การรวมไฟล์
• ปัญหาเซสชัน
• การอ้างอิงวัตถุโดยตรงที่ไม่ปลอดภัย
• ไม่มีการควบคุมการเข้าถึงระดับการทำงาน
• การปลอมแปลงคำขอข้ามไซต์ (CSRF)
• การเข้ารหัส
• การเปลี่ยนเส้นทางและการส่งต่อที่ไม่ถูกต้อง
• การแทรกเทมเพลตฝั่งเซิร์ฟเวอร์

ขอให้โชคดีและมีความสุขในการแฮ็ก!

ข้อสงวนสิทธิ์

อย่าโฮสต์แอปพลิเคชันนี้ในสภาพแวดล้อมแบบสดหรือแบบใช้งานจริง XVWA เป็นแอปพลิเคชันที่มีช่องโหว่โดยสิ้นเชิง และการอนุญาตให้เข้าถึงแอปพลิเคชันนี้ทั้งแบบออนไลน์/สดอาจนำไปสู่การบุกรุกระบบของคุณโดยสมบูรณ์ เราจะไม่รับผิดชอบต่อเหตุการณ์เลวร้ายใด ๆ ดังกล่าว อยู่อย่างปลอดภัย!

ลิขสิทธิ์

งานนี้ได้รับอนุญาตภายใต้ GNU GENERAL PUBLIC LICENSE เวอร์ชัน 3 หากต้องการดูสำเนาใบอนุญาตนี้ โปรดไปที่ http://www.gnu.org/licenses/gpl-3.0.txt

คำแนะนำ

XVWA ตั้งค่าได้ไม่ยุ่งยาก คุณสามารถตั้งค่านี้ได้บน windows, linux หรือ Mac ต่อไปนี้เป็นขั้นตอนพื้นฐานที่คุณควรทำบนสภาพแวดล้อม Apache-PHP-MYSQL เพื่อให้ทำงานได้ ให้เป็น WAMP, XAMP หรืออะไรก็ได้ที่คุณต้องการใช้

วิธีการติดตั้งด้วยตนเอง

คัดลอกโฟลเดอร์ xvwa ในสารบบเว็บของคุณ ตรวจสอบให้แน่ใจว่าชื่อไดเร็กทอรียังคงเป็น xvwa เอง ทำการเปลี่ยนแปลงที่จำเป็นใน xvwa/config.php สำหรับการเชื่อมต่อฐานข้อมูล ตัวอย่างด้านล่าง:

 $ XVWA_WEBROOT = '' ;  
$ host = " localhost " ; 
$ dbname = ' xvwa ' ;  
$ user = ' root ' ; 
$ pass = ' root ' ;

โปรดทราบว่า mysql เวอร์ชัน 5.7 ขึ้นไปต้องใช้ sudoer เพื่อเข้าถึงผู้ใช้รูท ซึ่งหมายความว่าผู้ใช้ apache จะไม่สามารถใช้ชื่อผู้ใช้ 'root' เพื่อเข้าถึงฐานข้อมูลได้ ในกรณีเช่นนี้ จะต้องสร้างชื่อผู้ใช้ใหม่และจะต้องเปลี่ยนไฟล์ config.php ตามลำดับ

ทำการเปลี่ยนแปลงต่อไปนี้ในไฟล์กำหนดค่า PHP

file_uploads = on 
allow_url_fopen = on 
allow_url_include = on 

XVWA จะสามารถเข้าถึงได้ที่ http://localhost/xvwa/

ตั้งค่าหรือรีเซ็ตฐานข้อมูลและตารางที่นี่ http://localhost/xvwa/setup/

รายละเอียดการเข้าสู่ระบบ

admin:admin
xvwa:xvwa
user:vulnerable

สคริปต์การติดตั้งอัตโนมัติ

ฉันได้เขียนสคริปต์เล็กๆ เพื่อให้การตั้งค่า XVWA ในการกระจาย Linux เป็นแบบอัตโนมัติได้อย่างง่ายดาย รันสิ่งนี้ด้วย รูท เพื่อติดตั้งการขึ้นต่อกันหากไม่พบในสภาพแวดล้อม linux ของคุณ

https://github.com/s4n7h0/Script-Bucket/blob/master/Bash/xvwa-setup.sh

สภาพแวดล้อมการตั้งค่าทางเลือก

นักเทียบท่า

ฉันยังเห็นนักเทียบท่าหลายคนเผยแพร่เพื่อตั้งค่า XVWA เราขอขอบคุณทุกคน ผู้ชื่นชอบนักเทียบท่าสามารถชำระเงินด้านล่างงานได้เช่นกัน https://github.com/tuxotron/xvwa_lamp_container

ISO สด

@knoself สร้าง XVWA live ISO บนเซิร์ฟเวอร์ Ubuntu ขั้นต่ำ 14.04.x ​​(issue27) https://mega.nz/#!4bJ2XRLT!zOa_IZaBz-doqVZz77Rs1tbhXuR8EVBLOHktBGp11Q8

 User = xvwa
Pass = toor

เกี่ยวกับ

XVWA ได้รับการออกแบบโดยตั้งใจให้มีข้อบกพร่องด้านความปลอดภัยมากมายและมีพื้นฐานทางเทคนิคเพียงพอที่จะเพิ่มพูนความรู้ด้านความปลอดภัยของแอปพลิเคชัน แนวคิดทั้งหมดนี้คือการเผยแพร่ปัญหาด้านความปลอดภัยของแอปพลิเคชันเว็บ โปรดแจ้งให้เราทราบข้อเสนอแนะของคุณในการปรับปรุงหรือช่องโหว่อื่น ๆ ที่คุณต้องการเห็นใน XVWA ในอนาคต

ผู้เขียน:

• @s4n7h0 https://twitter.com/s4n7h0
• @samanL33T https://twitter.com/samanl33t