Come installare Damn Vulnerable Web Application su CentOS 8

DVWA, chiamata anche “Damn Vulnerable Web App”, è un’applicazione web vulnerabile gratuita e open-source. È progettata per i professionisti della sicurezza per testare le proprie abilità e comprendere i processi di sicurezza delle applicazioni web. Fornisce una piattaforma per sperimentare nuovi strumenti di penetration testing e praticare nuove tecniche di sfruttamento per sfruttare vulnerabilità comuni.

In questo post, ti mostreremo come installare un’applicazione web vulnerabile su un server CentOS 8.

Prerequisiti

• Un server che esegue CentOS 8.
• Una password di root configurata sul server.

Installa Apache, MariaDB e PHP

DVWA è un’applicazione basata su PHP e MySQL. Quindi, dovrai installare il server web Apache, MariaDB, PHP e altre estensioni necessarie sul tuo server. Puoi installarli tutti con il seguente comando:

dnf install httpd mariadb-server php php-pdo php-mysqlnd php-cli php-gd git -y

Una volta installati tutti i pacchetti necessari, modifica il file php.ini con il seguente comando:

nano /etc/php.ini

Cambia le seguenti righe:

allow_url_fopen = On
allow_url_include = On
display_errors = Off

Salva e chiudi il file quando hai finito, quindi avvia il servizio Apache e MariaDB e abilitali per avviarsi al riavvio del sistema:

systemctl start httpd  
systemctl enable httpd  
systemctl start mariadb  
systemctl enable mariadb

Una volta terminato, puoi procedere al passaggio successivo.

Configura MariaDB

Successivamente, dovrai creare un database e un utente per DVWA. Prima, connettiti a MariaDB con il seguente comando:

mysql

Una volta connesso, crea un database e un utente con il seguente comando:

MariaDB [(none)]> create database dvwa;  
MariaDB [(none)]> grant all on dvwa.* to dvwa@localhost identified by 'password';

Successivamente, svuota i privilegi ed esci da MariaDB con il seguente comando:

MariaDB [(none)]> flush privileges;  
MariaDB [(none)]> exit;

Una volta terminato, puoi procedere al passaggio successivo.

Scarica DVWA

Prima, dovrai scaricare l’ultima versione di DVWA dal repository Git. Puoi scaricarlo con il seguente comando:

git clone https://github.com/ethicalhack3r/DVWA /var/www/html/

Una volta completato il download, cambia la directory nella directory di configurazione e copia il file di configurazione di esempio:

cd /var/www/html/config/  
cp config.inc.php.dist config.inc.php

Successivamente, modifica il file di configurazione con il seguente comando:

nano /var/www/html/config/config.inc.php

Definisci i dettagli del tuo database come mostrato di seguito:

$_DVWA[ 'db_server' ]   = '127.0.0.1';
$_DVWA[ 'db_database' ] = 'dvwa';
$_DVWA[ 'db_user' ]     = 'dvwa';
$_DVWA[ 'db_password' ] = 'password'; 

# Dovrai generare le tue chiavi su: https://www.google.com/recaptcha/admin

$_DVWA[ 'recaptcha_public_key' ]  = '6LewiQgbAAAAAEZlwAfH88bpdk1n06gn_Qc2Cyhb';
$_DVWA[ 'recaptcha_private_key' ] = '6LewiQgbAAAAAMVHAi4wFAIt9150QqbgcOkRBSZ7';

Salva e chiudi il file quando hai finito.

Nota: Puoi generare i valori di recaptcha dal servizio Google.

Successivamente, imposta i permessi e la proprietà corretti nella directory radice di Apache con il seguente comando:

chown -R apache:apache /var/www/html

Successivamente, riavvia i servizi Apache e MariaDB per applicare le modifiche:

systemctl restart mariadb httpd

A questo punto, DVWA è installato e configurato. Puoi ora procedere al passaggio successivo.

Configura SELinux e Firewall

Per impostazione predefinita, SELinux è abilitato in CentOS 8, quindi dovrai configurare SELinux per accedere a DVWA.

Esegui il seguente comando per configurare SELinux:

setsebool -P httpd_unified 1  
setsebool -P httpd_can_network_connect 1  
setsebool -P httpd_can_network_connect_db 1

Successivamente, dovrai anche consentire la porta 80 attraverso il firewalld. Puoi consentirlo con il seguente comando:

firewall-cmd --permanent --zone public --add-port 80/tcp

Successivamente, ricarica il firewalld per applicare le modifiche:

firewall-cmd --reload

A questo punto, SELinux e Firewalld sono configurati per consentire DVWA. Puoi ora procedere al passaggio successivo.

Accedi all’interfaccia web di DVWA

Ora, apri il tuo browser web e accedi all’interfaccia web di DVWA utilizzando l’URL http://your-server-ip/setup.php. Sarai reindirizzato alla seguente pagina:

Successivamente, fai clic su Reset/Database per configurare le impostazioni di connessione al database di DVWA. Dovresti vedere la seguente pagina:

Fornisci il nome utente predefinito: admin, password: password e fai clic sul pulsante Login. Dovresti vedere il dashboard di DVWA nella seguente pagina:

Conclusione

Congratulazioni! hai installato con successo DVWA con Apache su CentOS 8. Puoi ora utilizzare nuove tecniche per hackerare vulnerabilità comuni. Sentiti libero di chiedermi se hai domande.