Penetration testing H2

“a) Ratkaise jokin WebGoatin tehtävä. Hyödynsitkö jotain OWASP10 -haavoittuvuutta? Mitä niistä?
b) Mainitse esimerkki MITRE:n Att&ck tekniikasta, joka soveltuu weppiin. Osaatko antaa esimerkin hyökkäyksestä tai haittaohjelmasta, jossa sitä on käytetty?”
Tehtävät: http://terokarvinen.com/2019/penetration-testing-tunkeutumistestaus-ict4tn027-3004-intensive-summer-course-2019-w21w22-5-credits

Tässä blogissa käytetyt menetelmät ovat väärin käytettynä laittomia, käytä omalla vastuulla.

Tehtävät tehdään Kali Linux Xfce 64-Bit käyttöjärjestelmään, joka on avattu Live tilaan muistitikulta.

WebGoat Dockerille

Ensin asensin Dockerin komennolla “apt-get install docker.io“. Sitten DockerHubin sivun mukaan asensin Dockerille Webgoat version 7.1 komennoilla “docker pull webgoat/webgoat-7.1” ja “docker run -p 8080:8080 -t webgoat/webgoat-7.1“.

Avasin Firefox selaimen ja menin osoitteeseen localhost:8080/WebGoat, johon nyt aukesi juuri asentamani WebGoat palvelimen etusivu.

WebGoat tehtävä Stage:3 Bypass Data Layer Access Controll.

Avasin ensin MitmProxyn komennolla “EDITOR=nano mitmproxy -p 8888“, Kali Linuxissa MitmProxy on valmiiksi asennettuna. Proxy pitää vielä laitaa toimintaan Firefox selaimeen, jota käytän WebGoat tehtävään. Firefox selaimen asetuksista etsin Proxy asetukset ja vaihdoin ne portin 8888 kautta eli MitmProxyn kautta.

WebGoat tehtävänä oli kirjaudu käyttäjällä Tom ja yrittää päästä käsiksi toisen työn tekijän profiiliin.

Aloitin kirjautumalla käyttäjälle Tom Cat salasanalla tom.

Käyttäjällä Tom Cat painoin nappia “ViewProfile” ja etsin MitmProxyllä POST pyyntöä Web-palvelimelta.

Avasin POST pyyntö paketin ja editoin pyyntöä painamalla “E” ja valitsemalla “form”.

Vaihdoin taulun employee_id:n 105:stä 104:ään tallensin tiedon kenttään “TAB” näppäimellä ja poistuin “Q” näppäimellä.

Näppäimellä “R” lähetin uuden sivun Web-palvelimelle uudella id:llä. Response sivulla luki, että läpäisin tehtävän ja jatka seuraavaan eli pääsin toisen käyttäjän tietoihin käsiksi.

Tämä tehtävä hyödynsi OWASP Top10 A5 Broken Access Control haavoituvaisuutta.

MITRE Att&ck

Endpoint Denial of Service eli palvelun esto hyökkäys. Palvelun käytettävyys voidaan estää pommittamalla palvelimelle niin paljon turhia paketteja, että oikeiden käyttäjien palvelun käyttö estyy tai hidastuu.

Yleisesti tätä hyökkäys tapaa käytetään helppouden takia verkkopeleissä potkimaan vastustajat ulos pelistä ja isojen yrityksien palveluiden kaatamiseen botti verkoilla eli yleiseen kiusan tekoon tai aktivismiin.