Skip to main content

Instalar DVWA en Kali Linux

Pon a prueba tus habilidades de hackeo en una aplicación web vulnerable

Después de un tiempo sin subir ningún contenido nuevo por problemas en los servidores y con un post hace un par de días en relación con iptables, había pensado que, ya que hemos hecho un post enseñando como proteger nuestro sistema, porque no después hacer todo lo contrario, es decir, destruir algo. Recordé una aplicación web que había utilizado hace algún tiempo y me dió por volver a instalarla y volver a destrozar todo aquello que se me ocurriera. Esta aplicación es DVWA.

 

Qué es DVWA

DVWA (Damn Vulnerable Web Application) es una aplicación web destinada para la práctica de ataques en sitios web basados en php y mysql. En otras palabras es una web lista para destrozar todo lo posible. El principal objetivo es ayudar a los profesionales en la seguridad para poner a prueba sus habilidades en un entorno lo más real posible. Ayudar a los desarrolladores web a comprender mejor ciertos procesos y para profesores y estudiantes en este campo. Podemos encontrar una aplicación web con vulnerabilidades de diferentes tipos y niveles de dificultad y podemos descargarla o buscar más información desde la página oficial.

Aviso! Esta aplicación es vulnerable, es decir, si la instalan es su sistema pueden hacerlo vulnerable ante un posible ataque exterior. Por esta razón se recomienda instalar la aplicación  en una máquina virtual para evitar poner en riesgo nuestro sistema.

 

Vulnerabilidades disponibles

Como se comprobará en futuros post, las malas prácticas incluidas en esta aplicación pueden llevar a brechas de seguridad graves pudiendo poner en peligro todo el sistema en el cual esté instalada esta aplicación.

Esta aplicación consta de 3 niveles de dificultad low (bajo), medium (medio) y high (alto). Además las vulnerabilidades disponibles para explotar son:

  • Brute Force
  • Command Execution
  • File Inclusion (Local y Remote File Inclusion)
  • SQL Injection
  • SQL Blind Injection
  • File Upload
  • CSRF (Cross-Site Request Forgery)
  • XSS reflected
  • XSS stored

Para aquellos que todo esto les suene a chino, tranquilos, todo se explicará claramente y con ejemplos en el momento oportuno. Conforme vaya publicando post con las diferentes vulnerabilidades, se añadirá además un enlace en cada una de ellas a la entrada en la cual se expliquen.

Además desde la versión 1.0.7, podemos descargarnos una máquina virtual con todo ya configurado que incluye además, ciertas vulnerabilidades en dicho sistema. 

Esta máquina consta de las siguientes especificaciones:

  • Ubuntu Server 10.04
  • LAMP 1.7.3a Linux (Apache 2.2.14, MySQL 5.1.41, PHP 5.3.1)
  • WebDav
  • Fluxbox
  • Firefox 3.6.8
  • Addons de Firefox: XSS Me, SQL Inject Me, Access Me, Tamper Data, cliente REST, Hackbar, ShowIP, Switcher UserAgent, Firebug y NoScript.

Podemos descargarla desde su página en github.

 

Instalación de DVWA

Como ya hemos comentado, lo recomendable es instalar la aplicación en una máquina virtual. Entonces y para enseñar a instalar en kali linux, lo instalamos en una vm de kali también. Podemos descargar la aplicación desde el siguiente enlace o mediante wget como hacemos nosotros con el siguiente comando

Descomprimimos en fichero .zip

 

Una vez lo tenemos descomprimido, movemos la carpeta a la ruta /var/www y le cambiamos el nombre por dvwa

Ahora accedemos y deberemos modificar un fichero con la configuración de la base de datos

Y veremos un fichero como el que aparece en la siguiente imagen

 

Vamos a eliminar el contenido de la variable db_password dejándola igual a ” y vamos a crear la base de datos

 

Una vez creada nuestra base de datos arrancamos el servicio de apache y creamos un fichero conf para nuestra web

 

En el archivo deberéis incluir lo siguiente

 

De momento vamos a dejarlo así, en las próximas semanas tengo previsto crear varios post explicando las diferentes configuraciones posibles para un servidor como puede ser apache, httpd o nginx.

Agregamos el sitio a nuestro apache y reiniciamos el servicio

Como último paso y para poder llevar a cabo ciertos exploits a los que es vulnerable, se deberá realizar un cambio en el fichero de configuración de php (php.ini), dejando las siguientes directivas:

  • magic_quotes_gpc=off (esta directiva fue eliminada en la versión 5.4.0 de php)
  • allow_url_fopen=on (permite acceder a ficheros a partir de la url)
  • allow_url_include=on (esta opcion permite añadir archivos a través de la url por medio de las funciones de php include, include_once, require, require_once)

 

Con esto ya lo tenemos instalado y configurado, accedemos en la url http://127.0.0.1/dvwa y listo. En nuestro caso accedemos a la ip que hemos configurado previamente en la máquina virtual.

Para acceder a la página los datos de acceso son

user: admin

password: password

 

Con esto terminamos por ahora pero, en las próximas semanas iré subiendo diferentes post explotando todas y cada una de las vulnerabilidades de esta aplicación. Cualquier duda en los comentarios y gracias por leernos.

 

Deja una respuesta

Tu dirección de correo electrónico no será publicada.