Comment installer Damn Vulnerable Web Application sur CentOS 8

DVWA également appelé “Damn Vulnerable Web App” est une application web vulnérable gratuite et open-source. Elle est conçue pour les professionnels de la sécurité afin de tester leurs compétences et de comprendre les processus de sécurité des applications web. Elle fournit une plateforme pour expérimenter de nouveaux outils de test de pénétration et pratiquer de nouvelles techniques d’exploitation pour exploiter des vulnérabilités courantes.

Dans cet article, nous allons vous montrer comment installer une Damn Vulnerable Web App sur un serveur CentOS 8.

Prérequis

• Un serveur exécutant CentOS 8.
• Un mot de passe root configuré sur le serveur.

Installer Apache, MariaDB et PHP

DVWA est une application basée sur PHP et MySQL. Vous devrez donc installer le serveur web Apache, MariaDB, PHP et d’autres extensions requises sur votre serveur. Vous pouvez tous les installer avec la commande suivante :

dnf install httpd mariadb-server php php-pdo php-mysqlnd php-cli php-gd git -y

Une fois tous les paquets nécessaires installés, éditez le fichier php.ini avec la commande suivante :

nano /etc/php.ini

Changez les lignes suivantes :

allow_url_fopen = On
allow_url_include = On
display_errors = Off

Enregistrez et fermez le fichier lorsque vous avez terminé, puis démarrez le service Apache et MariaDB, et activez-les pour qu’ils démarrent au démarrage du système :

systemctl start httpd  
systemctl enable httpd  
systemctl start mariadb  
systemctl enable mariadb

Une fois que vous avez terminé, vous pouvez passer à l’étape suivante.

Configurer MariaDB

Ensuite, vous devrez créer une base de données et un utilisateur pour DVWA. Tout d’abord, connectez-vous à MariaDB avec la commande suivante :

mysql

Une fois connecté, créez une base de données et un utilisateur avec la commande suivante :

MariaDB [(none)]> create database dvwa;  
MariaDB [(none)]> grant all on dvwa.* to dvwa@localhost identified by 'password';

Ensuite, videz les privilèges et quittez MariaDB avec la commande suivante :

MariaDB [(none)]> flush privileges;  
MariaDB [(none)]> exit;

Une fois que vous avez terminé, vous pouvez passer à l’étape suivante.

Télécharger DVWA

Tout d’abord, vous devrez télécharger la dernière version de DVWA depuis le dépôt Git. Vous pouvez le télécharger avec la commande suivante :

git clone https://github.com/ethicalhack3r/DVWA /var/www/html/

Une fois le téléchargement terminé, changez le répertoire vers le répertoire de configuration et copiez le fichier de configuration d’exemple :

cd /var/www/html/config/  
cp config.inc.php.dist config.inc.php

Ensuite, éditez le fichier de configuration avec la commande suivante :

nano /var/www/html/config/config.inc.php

Définissez les détails de votre base de données comme indiqué ci-dessous :

$_DVWA[ 'db_server' ]   = '127.0.0.1';
$_DVWA[ 'db_database' ] = 'dvwa';
$_DVWA[ 'db_user' ]     = 'dvwa';
$_DVWA[ 'db_password' ] = 'password'; 

# Vous devrez générer vos propres clés à : https://www.google.com/recaptcha/admin

$_DVWA[ 'recaptcha_public_key' ]  = '6LewiQgbAAAAAEZlwAfH88bpdk1n06gn_Qc2Cyhb';
$_DVWA[ 'recaptcha_private_key' ] = '6LewiQgbAAAAAMVHAi4wFAIt9150QqbgcOkRBSZ7';

Enregistrez et fermez le fichier lorsque vous avez terminé.

Remarque : Vous pouvez générer les valeurs de recaptcha depuis le service Google.

Ensuite, définissez les permissions et la propriété appropriées pour le répertoire racine d’Apache avec la commande suivante :

chown -R apache:apache /var/www/html

Ensuite, redémarrez le service Apache et MariaDB pour appliquer les modifications :

systemctl restart mariadb httpd

À ce stade, DVWA est installé et configuré. Vous pouvez maintenant passer à l’étape suivante.

Configurer SELinux et le pare-feu

Par défaut, SELinux est activé dans CentOS 8, vous devrez donc configurer SELinux pour accéder à DVWA.

Exécutez la commande suivante pour configurer SELinux :

setsebool -P httpd_unified 1  
setsebool -P httpd_can_network_connect 1  
setsebool -P httpd_can_network_connect_db 1

Ensuite, vous devrez également autoriser le port 80 à travers le firewalld. Vous pouvez l’autoriser avec la commande suivante :

firewall-cmd --permanent --zone public --add-port 80/tcp

Ensuite, rechargez le firewalld pour appliquer les modifications :

firewall-cmd --reload

À ce stade, SELinux et Firewalld sont configurés pour permettre DVWA. Vous pouvez maintenant passer à l’étape suivante.

Accéder à l’interface Web de DVWA

Maintenant, ouvrez votre navigateur web et accédez à l’interface web de DVWA en utilisant l’URL http://your-server-ip/setup.php. Vous serez redirigé vers la page suivante :

Ensuite, cliquez sur Reset/Database pour configurer les paramètres de connexion à la base de données DVWA. Vous devriez voir la page suivante :

Fournissez le nom d’utilisateur par défaut : admin, mot de passe : password et cliquez sur le bouton Login. Vous devriez voir le tableau de bord DVWA sur la page suivante :

Conclusion

Félicitations ! vous avez réussi à installer DVWA avec Apache sur CentOS 8. Vous pouvez maintenant utiliser de nouvelles techniques pour exploiter des vulnérabilités courantes. N’hésitez pas à me poser des questions si vous en avez.