Cómo instalar una aplicación web malditamente vulnerable en CentOS 8

DVWA también llamada "Maldita aplicación web vulnerable" es una aplicación web vulnerable gratuita y de código abierto. Está diseñado para que los profesionales de la seguridad pongan a prueba sus habilidades y comprendan los procesos de seguridad de las aplicaciones web. Proporciona una plataforma para experimentar con nuevas herramientas de prueba de penetración y practicar nuevas técnicas de explotación para explotar vulnerabilidades comunes.

En esta publicación, le mostraremos cómo instalar una aplicación web Damn Vulnerable en el servidor CentOS 8.

Requisitos

• Un servidor que ejecuta CentOS 8.
• Se configura una contraseña raíz en el servidor.

Instalar Apache, MariaDB y PHP

DVWA es una aplicación basada en PHP y MySQL. Por lo tanto, deberá instalar el servidor web Apache, MariaDB, PHP y otras extensiones necesarias en su servidor. Puede instalarlos todos con el siguiente comando:

dnf instalar httpd mariadb-server php php-pdo php-mysqlnd php-cli php-gd git -y

Una vez que todos los paquetes necesarios estén instalados, edite el archivo php.ini con el siguiente comando:

nano /etc/php.ini

Cambie las siguientes líneas:

allow_url_fopen =Onallow_url_include =Ondisplay_errors =Desactivado

Guarde y cierre el archivo cuando haya terminado, luego inicie el servicio Apache y MariaDB, y habilítelos para que se inicien al reiniciar el sistema:

systemctl iniciar httpd
systemctl habilitar httpd
systemctl iniciar mariadb
systemctl habilitar mariadb

Una vez que haya terminado, puede continuar con el siguiente paso.

Configurar MariaDB

A continuación, deberá crear una base de datos y un usuario para DVWA. Primero, conéctese a MariaDB con el siguiente comando:

mysql

Una vez que esté conectado, cree una base de datos y un usuario con el siguiente comando:

MariaDB [(none)]> crear base de datos dvwa;
MariaDB [(none)]> otorgar todo en dvwa.* a [email protected] identificado por 'contraseña';

A continuación, elimine los privilegios y salga de MariaDB con el siguiente comando:

MariaDB [(none)]> vaciar privilegios;
MariaDB [(none)]> salir;

Una vez que haya terminado, puede continuar con el siguiente paso.

Descargar DVWA

Primero, deberá descargar la última versión de DVWA del repositorio de Git. Puedes descargarlo con el siguiente comando:

clonar git https://github.com/ethicalhack3r/DVWA /var/www/html/

Una vez que se complete la descarga, cambie el directorio al directorio de configuración y copie el archivo de configuración de muestra:

cd /var/www/html/config/
cp config.inc.php.dist config.inc.php

A continuación, edite el archivo de configuración con el siguiente comando:

nano /var/www/html/config/config.inc.php

Defina los detalles de su base de datos como se muestra a continuación:

$_DVWA[ 'db_server' ] ='127.0.0.1';$_DVWA[ 'db_database' ] ='dvwa';$_DVWA[ 'db_user' ] ='dvwa';$_DVWA[ 'db_password' ] =' clave'; # Deberá generar sus propias claves en:https://www.google.com/recaptcha/admin$_DVWA[ 'recaptcha_public_key' ] ='6LewiQgbAAAAAEZlwAfH88bpdk1n06gn_Qc2Cyhb';$_DVWA[ 'recaptcha_private_key' ] ='6LewiQgbAAAAAMVHAi4wqFAItb7c9150 

 Guarde y cierre el archivo cuando haya terminado.
 

 Nota:Puede generar los valores de recuperación desde el servicio de Google. 
 

 A continuación, establezca el permiso y la propiedad adecuados para el directorio raíz de Apache con el siguiente comando:
 
chown -R apache:apache /var/www/html
 

 A continuación, reinicie el servicio Apache y MariaDB para aplicar los cambios:
 
systemctl reiniciar mariadb httpd
 

 En este punto, DVWA está instalado y configurado. Ahora puede continuar con el siguiente paso.
 
Configurar SELinux y Firewall
 

 De forma predeterminada, SELinux está habilitado en CentOS 8, por lo que deberá configurar SELinux para acceder a DVWA.
 

 Ejecute el siguiente comando para configurar SELinux:
 
setsebool -P httpd_unified 1
setsebool -P httpd_can_network_connect 1
setsebool -P httpd_can_network_connect_db 1
 

 A continuación, también deberá permitir el puerto 80 a través del firewalld. Puedes permitirlo con el siguiente comando:
 
firewall-cmd --permanente --zone public --add-port 80/tcp
 

 A continuación, vuelva a cargar el cortafuegos para aplicar los cambios:
 
firewall-cmd --recargar
 

 En este punto, SELinux y Firewalld están configurados para permitir DVWA. Ahora puede continuar con el siguiente paso.
 
Acceder a la interfaz de usuario web de DVWA
 

 Ahora, abra su navegador web y acceda a la interfaz web de DVWA utilizando la URL  http://your-server-ip/setup.php . Será redirigido a la siguiente página:
 

 
 

 
 

 A continuación, haga clic en Restablecer/Base de datos para configurar los ajustes de conexión de la base de datos DVWA. Debería ver la siguiente página:
 

 
 

 Proporcione el nombre de usuario predeterminado:admin, contraseña:contraseña y haga clic en Iniciar sesión botón. Debería ver el panel de DVWA en la siguiente página:
 

 
 
Conclusión
 

 ¡Felicidades! Ha instalado correctamente DVWA con Apache en CentOS 8. Ahora puede utilizar nuevas técnicas para hackear vulnerabilidades comunes. Siéntase libre de preguntarme si tiene alguna pregunta.