xvwa

Xtreme 易受攻擊的 Web 應用程式 (XVWA)

XVWA 是一個用 PHP/MySQL 編寫的編碼錯誤的 Web 應用程序，可幫助安全愛好者學習應用程式安全。不建議在線託管此應用程序，因為它被設計為“非常容易受到攻擊”。我們建議將此應用程式託管在本地/受控環境中，並使用您自己選擇的任何工具來提高您的應用程式安全忍者技能。侵入或侵入此系統是完全合法的。我們的想法是以最簡單、最根本的方式向社群宣傳 Web 應用程式安全性。為了良好的目的而學習和掌握這些技能。您如何使用這些技能和知識庫不是我們的責任。

XVWA 旨在了解以下安全性問題。

• SQL注入－基於錯誤
• SQL注入－盲注
• 作業系統命令注入
• XPATH 注入
• 配方奶注射
• PHP 物件注入
• 無限檔案上傳
• 反射跨站腳本
• 儲存的跨站腳本
• 基於 DOM 的跨站腳本
• 伺服器端請求偽造（跨站點連接埠攻擊）
• 文件包含
• 會話問題
• 不安全的直接物件引用
• 缺少功能等級存取控制
• 跨站請求偽造 (CSRF)
• 密碼學
• 未經驗證的重定向和轉發
• 伺服器端模板注入

祝你好運，駭客快樂！

免責聲明

不要在即時或生產環境中託管此應用程式。 XVWA 是完全易受攻擊的應用程序，在線/即時訪問該應用程式可能會導致您的系統完全受到損害。我們對任何此類不良事件不承擔任何責任。注意安全！

版權

本作品已獲得 GNU 通用公共授權版本 3 的許可。

指示

XVWA 設定起來毫無麻煩。您可以在 Windows、Linux 或 Mac 上設定。以下是您應該在 Apache-PHP-MYSQL 環境中執行此操作的基本步驟。可以是 WAMP、XAMP 或您喜歡使用的任何內容。

手動安裝方式

將 xvwa 資料夾複製到您的 Web 目錄中。確保目錄名稱仍然是xvwa本身。在 xvwa/config.php 中對資料庫連線進行必要的變更。下面的例子：

 $ XVWA_WEBROOT = '' ;  
$ host = " localhost " ; 
$ dbname = ' xvwa ' ;  
$ user = ' root ' ; 
$ pass = ' root ' ;

請注意，mysql 5.7 及以上版本需要 sudoer 才能存取 root 使用者。這意味著 apache 使用者將無法使用「root」使用者名稱存取資料庫。在這種情況下，需要建立一個新的用戶名，並且還需要相應地更改 config.php 檔案。

在 PHP 設定檔中進行以下更改

file_uploads = on 
allow_url_fopen = on 
allow_url_include = on 

XVWA 可透過 http://localhost/xvwa/ 訪問

在此設定或重設資料庫和表格 http://localhost/xvwa/setup/

登入詳細資訊

admin:admin
xvwa:xvwa
user:vulnerable

自動安裝腳本

我編寫了一個小腳本來輕鬆自動化 Linux 發行版中的 XVWA 設定。如果在您的 Linux 環境中找不到，請使用root執行此命令來安裝依賴項

https://github.com/s4n7h0/Script-Bucket/blob/master/Bash/xvwa-setup.sh

替代設定環境

碼頭工人

我還看到發布了多個用於設定 XVWA 的 docker。我們對他們所有人表示感謝。任何 docker 愛好者也可以查看下面的作品。 https://github.com/tuxotron/xvwa_lamp_container

即時ISO

@knoself 在最小的 Ubuntu 伺服器 14.04.x 上製作了 XVWA live ISO（issue27） https://mega.nz/#!4bJ2XRLT!zOa_IZaBz-doqVZz77Rs1ktXuR8EVBLOHktBGp11Q8tbh

 User = xvwa
Pass = toor

關於

XVWA 特意設計了許多安全缺陷和足夠的技術基礎來提高應用程式安全知識。整個想法是為了宣傳 Web 應用程式安全問題。請告訴我們您的改進建議或您希望在 XVWA 未來版本中看到的任何更多漏洞。

作者：

• @s4n7h0 https://twitter.com/s4n7h0
• @samanL33T https://twitter.com/samanl33t