-: Comment attaqueriez-vous un site web?
Vous pouvez utiliser les méthodes que nous avons apprises jusqu'à
présent pour attaquer un site Web,
car nous disons qu'un site Web est installé
sur un ordinateur. Vous pouvez donc tenter de l'attaquer et essayer de
le pirater comme un autre ordinateur. Vous pouvez ainsi
utiliser le
attaques côté serveur, pour utiliser les attaques
côté serveur, essayez de voir le serveur Web installé sur le système
d’exploitation toutes les autres applications et voyez si vous pouvez
utiliser si l’une d’entre elles comporte une
quelconque vulnérabilité, et si
vous pouvez l’utiliser pour accéder au système à l'ordinateur.
Une autre solution consiste à utiliser
les attaques côté serveur et les attaques côté
client, car les sites Web sont gérés par
des humains. Il doit donc y avoir des humains
pour gérer ces sites et les conserver. Par conséquent, si
vous parvenez à pirater un des administrateurs de
ce site, Ils pourront probablement
obtenir leur nom d'utilisateur
et leur mot de passe, puis se connecter à leur
panneau d'administration ou à SSH, aux
services qu'ils utilisent pour gérer leur site Web.
Si ces deux méthodes échouent, vous pouvez essayer de
tester l'application Web car, comme je
l'ai dit, l'application Web est simplement une application installée sur
ce site Web.
Ainsi, votre cible pourrait ne pas être réellement
l'application Web. Peut-être votre cible était-elle simplement une personne utilisant ce site
Web, mais vous ne
pourrez jamais obtenir, accéder à son ordinateur.
Donc, ce que vous faites est, vous allez à
son site Web pirater
son site Web, et à partir de là allez à votre personne.
Ainsi, toutes les choses dont nous
parlons sont toutes interconnectées. Vous pouvez donc
utiliser l'une d'elles pour la
privilégier, puis vous rendre à un autre endroit ou à un autre ordinateur.
Donc, dans cette section, nous
ne parlerons pas du serveur et
des attaques côté
client car vous l'avez déjà appris.
Nous allons parler de tester la sécurité
de l'application de site Web elle-même.
Donc, ma cible sera cette machine Metasploitable.
Et si nous faisons un ifconfig dessus, vous verrez que son
adresse IP est 10. 20 14 204 et
tous les fichiers de sites Web sont stockés dans
un répertoire appelé: var / www et vous pouvez voir que
nous avons notre notre php. info et nous avons mutillidae,
dvwa et phpMyAdmin et
nous avons mutillidae, dvwa et phpMyAdmin donc si nous allons à la machine
Kali ou à n’importe quelle machine et essayons
d’aller n'importe quelle machine sur
le même réseau, évidemment, et essayons
d'aller à, ouvrons le navigateur, et si
nous allons à
10.
20 14
204 10. 20 14 204
10. 20 14
204 10. 20 14 204
vous verrez que nous avons ici un
site Web fait pour Metasploitable.
Comme vous pouvez le constater, un
site Web n’est qu’une application installée sur le navigateur Web.
Et vous pouvez voir que vous pouvez accéder
à n'importe lequel de ces sites
Web ici et l'utiliser pour tester sa sécurité.
Une autre chose est que DVWA utilise un nom d'utilisateur et un mot de passe pour se connecter
et que le
nom d'utilisateur est: admin pour se connecter. Le nom d'utilisateur est: admin et
le mot de passe est: mot
de passe. Une fois que vous avez indiqué votre nom, vous pouvez vous connecter.
Vous pouvez également modifier les paramètres de
sécurité. Ainsi, si vous utilisez la sécurité DVWA, je vais
le régler au minimum, et
je l'utiliserai toujours aussi bas dans
les sections à venir, car nous ne sommes
qu’un cours d’introduction. Nous ne parlerons
donc que des méthodes
de
base pour découvrir les méthodes de
base pour découvrir les vulnérabilités d’une application Web.
Et la même chose avec l'application Web mutillidae.
Donc, si nous
y allons, assurez-vous que votre sécurité est définie sur
faible, de sorte que ma sécurité est définie sur zéro ici.