Studoši

S kojim URL-om pristupate OWASP mutillidae nakon što ju pokrenete s Dockerom i jeste li imali problem da vam localhost promet ne ide preko proxya pa se uopće ne vidi u OWASP ZAP konzoli?

nika_1999 Ja sam imao taj problem na Windowsu + Chromeu, ali kad sam se prebacio na Firefox i slijedio upute za Firefox odavde, proradilo mi je
Pretpostavljam da Chrome ima neku internu zabranu da se proxya localhost koju Windows proxy server ne može zaobići

Trebalo bit biti 127.0.0.1:80

Trebas podesiti Local proxies unutar OWASP ZAPa i proxy na pregledniku na iste parametre i tjt

indythedog Ja imam problem da mi javi Unable to listen on this address and port: 127.0.0.1:80 iako je pokrenut app. Kad u Quick start probam manual explore, u logovima mi bude error da selenium ne može pronaći bin od firefoxa u pathu, a dodao sam ga

Jel zna na što se točno misli kad oni kažu na tri različite vrste zahtjeva? Jel se to odnosi na to jel je GET zahtjev, POST zahtjev ili neki treci, ili jel misle na tri različite stranice u Mutillidae?

koliko ima posla za labos?

*** Mislim da sam labos nema puno posla, veći problem je osposobit okolinu. Ja već pola dana gubim na virtualke i docker. Ako netko ima fool-proof tutorial za postavit sve, bio bih vrlo zahvalan.

Ako netko još nije počeo ili ima problema kao što sam imao ja, evo upute kako je meni proradila okolina s Ubuntu virtualkom. Uvjet je da imate VirtualBox instaliran.

1) Pratite ove upute za stvaranje nove virtualke, memory sam stavio 2048MB, a storage sam stavio fixed 20GB (u settings/display u virtualki mozete postaviti rezoluciju)
2) Kada pokrenete virtualku, u terminalu pokrenite java i pokrenite prvu naredbu koju vam ponudi
3) Pratite ove upute za postaviti JAVA_HOME na ispravnu putanju
4) Pokrenite sudo apt install docker.io
5) Pokrenite sudo apt install docker-compose
6) Pokrenite sudo apt-get update && sudo apt-get dist-upgrade
7) Dohvatite Linux Installer za ZAP proxy s ovog linka
8) U Downloads imate dohvacenu shell skriptu, preimenujte je u zap.sh da vam je jednostavnije
9) Pozicionirajte se u Downloads direktorij i pokrenite chmod +x zap.sh
10) Pokrenite sudo ./zap.sh
11) Pratite upute za instalaciju i otkrijte gdje vam je instalacijski folder, meni je /opt/zaproxy
12) Pozicionirajte se u taj direktorij i pokrenite alat s sudo ./zap.sh
13) Pratite ove upute za dohvaćanje i pokretanje ranjive aplikacije
14) App bi vam trebao biti dostupan na 127.0.0.1

him

Pokrenite sudo apt-get update && sudo apt-get dist-upgrade

nemojte

him Hm čudno, ja nisam imao taj problem
Možda je do dockera, ja sam ga imao instaliranog od prije pa mi nije pravio probleme, ne znam što bi drugo moglo biti

Jeste na kraju za ovo “mora se koristiti najmanje 3 različite vrste zahtjeva” koristili baš 1 GET, 1 POST 1 npr. DELTE zahtjev, ili ste samo koristili različite URL-ove Multidae aplikacije?

indythedog odgovorio mi je asistent na mail, kaže da je OK testirati 3 različita URL-a

indythedog Na kraju sam koristio samo različite URL-ove aplikacije. Čini mi se bedastim da koristimo baš različite metode.

Kad kazete da ste koristili različite URL-ove dal mislite na to da imate sve isto samo različite query parametre? Meni sve ide na index.php samo mi je drugačiji “page” parametar.

Marko Ma da, npr. https://localhost/index.php?page=user-info.php je jedan URL, a https://localhost/index.php?page=login.php drugi url itd.

viliml Imaš još par tipova injectiona (log injection, command injection) u aplikaciji, buffer overflow za koji također postoji opcija u ZAP-u, XSS, CBC-bit flipping itd.

gladiator Iskreno neznam sto ovo radi, nov sam s linuxom. Imao sam problem, stackoverflow je izbacio ovu naredbu kao rjesenje 🤷‍♂️

Koje ste vi zahtjeve koristili? Meni ne pada na pamet što ima smisla fuzzati osim SQL injekcije

indythedog a kako se detektiraju ti ostali u logovima

*** Misliš na ostale ranjivosti ili?

indythedog pa da, ove sql injection uspijem naći erorr vezan za sql, probala sam neka pretraživanja erorra kod ovih pa neuspješno