Web应用安全 -- DVWA部署（Linux、Docker版）

codeGoogle 发布于2021-09-14 17:57 / 848人阅读

摘要：安全起见，检测后，建议删除该文件。啥没劲那改为提交后，和你的说拜拜把，直接跳转到百度。大家可以自己试试存储型，如果成功了，那恭喜你，页面将永远是百度了。

一、DVWA简介

Damn Vulnerable Web Application (DVWA)(译注：可以直译为："该死的"不安全Web应用网站)，是一个编码糟糕的、易受攻击的 PHP/MySQL Web应用程序。它的主要目的是帮助安全专业人员在合法的环境中，测试他们的技能和工具，帮助 Web 开发人员更好地了解如何增强 Web 应用程序的安全性，并帮助学生和教师在受控的课堂环境中，了解 Web 应用程序的安全。

二、场景模块简介

DVWA主要包含以下场景模块：

1.Bruce Force //暴力破解
2.Command Injection //命令注入
3.CSRF //跨站请求伪造
4.File Inclusion //文件包含
5.File Upload //文件上传漏洞
6.Insecure CAPTCHA //不安全的验证
7.SQL Injection //sql注入
8.SQL Injection（Blind） //sql注入（盲注）
9.XSS（Reflected） //反射型XSS
10.XSS（Stored） //存储型XSS

每个模块的代码都有4种安全等级：Low、Medium、High、Impossible。
通过从低难度到高难度的测试并参考代码变化可帮助学习者更快的理解漏洞的原理。

三、搭建环境及流程


服务器	华为云（ 4vCPUs 8GiB c6s.xlarge.2 5M带宽）
OS	CentOS 7.6 64bit （ Docker中：Ubuntu ）
LAMP	yum源最新版
Docker	Server Version: 18.06.1-ce、Storage Driver: overlay2

搭建流程简述：

1、拉取基础镜像，进入容器进行部署
2、安装基础工具及LAMP环境
3、创建数据库、账号密码及授权
4、下载并部署DVWA
5、访问服务，简单“黑”一下

搭建过程：

# 1、拉取基础镜像，进入容器进行部署$ docker run -it -d --name dvwa -p 8444:80 ubuntu    #拉取ubuntu镜像$ docker exec -it dvwa /bin/bash    #进入容器

# 2、安装基础工具及LAMP环境$ apt-get update$ apt-get install -y zip unzip vim wget    #基础工具$ apt-get -y install apache2 mariadb-server php php-mysqli php-gd libapache2-mod-php  #安装LAMP环境# 安装过程中，需要有2次信息选择，一个是区域，一个是时区$ service apache2 start    #启动apache服务$ service mysql start      #启动数据库服务#注意：http://你的ip:8444      #如果出现apache界面证明部署

#阶段检验$ cd /var/www/html$ vim 1.php1.php写入如下信息：:wq!  #保存退出从华为云控制台，安全组放开8444端口访问：http://你的ip:8444/1.php   #如果看到phpinfo，证明apache和php都部署OK了。#安全起见，检测后，建议删除该文件。

# 3、创建数据库、账号密码及授权$ mysql #进入mysql#创建数据库、用户、密码、授权mysql> create database dvwa;mysql> create user dvwa@localhost identified by "p@ssw0rd";mysql> grant all on dvwa.* to dvwa@localhost;mysql> flush privileges;#这里按照上面代码执行，后面config.inc.php就不用修改了。

# 4、下载并部署DVWA$ cd /var/www/html    #进入部署目录$ wget https://codeload.github.com/digininja/DVWA/zip/master    #下载$ mv master master.zip    #如果下载的没有后缀，就执行这个增加一个后缀$ unzip master.zip        #解压$ mv DVWA-master /var/www/html/dvwa    #移动（更名）到dvwa$ chmod 777 -R /var/www/html    #做个授权$ cd /var/www/html/dvwa/config    #进入配置目录$ cp config.inc.php.dist config.inc.php    #复制创建php config文件$ vim config.inc.php     #如果第三步，按照本文创建的，这里可以不用执行。否则就改一下响应的配置

# 5、访问服务，简单使用访问：http://你的ip:8444/dvwa默认用户名：admin，默认密码：password；登录后，点击最下方的 Create / Reset Database 按钮。数据库创建成功，重新登陆一下。开始黑客之旅吧~

简单“黑”一下：

第一步：更改安全等级

第二步：攻击一下

提交后，系统弹出1，证明入侵成功！
当然这是一个简单的反射型XSS例子。
啥？没劲？那...

改为

提交后，和你的DVWA说拜拜把，直接跳转到百度。
大家可以自己试试存储型，如果成功了，那恭喜你，XSS(Stored)页面将永远是百度了。

更多攻防实例在后续文章会陆续推出，尽请关注~

参考：

主页: http://www.dvwa.co.uk/
项目主页: https://github.com/digininja/DVWA

0人点赞

IT技术

云服务器专线服务 docker部署web应用 docker容器部署应用 docker部署java应用 Web应用安全

文章版权归作者所有，未经允许请勿转载,若此文章存在违规行为，您可以联系管理员删除。

转载请注明本文地址：https://www.ucloud.cn/yun/119924.html

30个不可不知的容器技术工具和资源

摘要：容器包的大小和完整性使得团队成员能够在几秒钟内部署完整的环境。由的前安全主管美国总统执行办公室网络安全高级总监联合创立的，目前正在准备类似的容器安全产品。在年，在美国召开了两个大型会议和个小型会议。软件容器技术影响着从开发人员、测试人员、运维人员到分析人员的IT团队中的每一个人，它不像虚拟化一样只是系统管理员的工具。容器包的大小和完整性使得团队成员能够在几秒钟内部署完整的环境。容器...

crelaber 2019-06-28 15:36 评论0 收藏0
Kali Linux 2016.2(Rolling) 搭建 DVWA

摘要：是用编写的一套用于常规漏洞教学和检测的脆弱性测试程序。包含了注入盲注等常见的一些安全漏洞。已自带了平台所需的环境，所以搭建非常简单。打开浏览器输入如本机点击输入登录 DVWA ( Dam Vulnerable Web Application ) DVWA 是用 PHP + Mysql 编写的一套用于常规 WEB 漏洞教学和检测的WEB脆弱性测试程序。包含了 SQL 注入、 XSS 、盲...

CKJOKER 2019-05-29 19:23 评论0 收藏0
网络安全方面学习笔记(持续更新...)

摘要：网关一般就是网络交换机如路由器服务器等，网关的地址是具有路由功能的设备的地址，具有路由功能的设备有路由器启用了路由协议的服务器实质上相当于一台路由器代理服务器也相当于一台路由器。表示后面即使执行错误，也不报错。 ...

VishKozus 2021-11-18 10:02 评论0 收藏0
IT企业是如何选择容器管理平台的

摘要：对企业而言，很难确定哪个容器管理工具是最好的。在选择容器管理平台时，技术差异虽然不是唯一的，但却是最大的影响因素之一。在选择容器管理平台以及其他工具时，公司主要考量的指标是产品的稳定性。对IT企业而言，很难确定哪个容器管理工具是最好的。对某一个企业来说复杂的东西，或许对另一个企业而言是灵活且易于扩展的。IT团队一般是通过考量对工具的支持、交互操作性这些方面，来确定哪一个工具是适合自己...

魏宪会 2019-06-28 16:07 评论0 收藏0
如何在云服务提供商的平台上使用Docker Machine

摘要：大家好，今天我们来了解如何使用在各种云服务提供商的平台上部署。是一个可以帮助我们在自己的电脑云服务提供商的平台以及我们数据中心的机器上创建机器的应用程序。支持几个流行的云平台，如及其它等等，所以我们可以在不同的平台使用相同的接口来部署。大家好，今天我们来了解如何使用Docker Machine在各种云服务提供商的平台上部署Docker。Docker Machine是一个可以帮助我们在自己的...

noONE 2019-04-25 17:42 评论0 收藏0