Antes de nada, comentar que iremos viendo las partes más practicas durante esta saga de artículos de "Hacking desde 0", así que, si no sabes de que va esta vulnerabilidad, te recomiendo que busque información sobre ella.
En esta entrada vamos a trabajar sobre DVWA (Damn Vulnerable web application), así que arranca tu VM para poder trabajar sobre ella.
Bien, dicho esto, vamos al lío.
Una vez que tenemos arrancada la máquina y hemos accedido, vamos al menú de la parte izquierda y seleccionamos "DVWA Security". Desde ahí ponemos el nivel de seguridad en bajo y le damos a "submit" como se ve en la siguiente imagen. Además debemos revisar que que "PHPIDS" está desactivado.
Una vez que hemos establecido los valores como se ven en la imagen, vamos a lo que de verdad nos importa, como realizar el ataque.
En este ejemplo, vamos a ver como podemos explotar la vulnerabilidad de "command injection". Navegamos a la página "command injection" en nuestra DVWA y vemos lo siguiente.
Nos dice que ingresemos una dirección IP a la que realizarle un ping. Veamos que ocurre.
Como podemos observar en la imagen anterior, al poner en el cuadro 127.0.0.1 nos devuelve las estadísticas del comando ping sobre esa dirección IP. Pero, ¿que ocurre si además de la dirección IP le pedimos que muestre algo más? Veamos un ejemplo.
En esta ocasión le hemos pedido que realice un ping a la 127.0.0.1 pero además le pedimos que liste todo lo que hay en /etc. El resultado es el que se aprecia en la imagen anterior.
Hagamos otra prueba. Esta vez le pedimos que realice un ping a la 127.0.0.1 y que nos muestre el contenido de /etc/passwd.
Como veis, esta vez no nos hemos limitado a listar directorios o ficheros, si no que tenemos acceso al fichero "passwd" que es donde se registran los usuarios del sistema. Con esto podríamos montar otros tipos de ataques.
Hasta aquí el artículo de hoy, el próximo día veremos más sobre "command injection".
No olvidéis que esto es con carácter formativo, siempre auditar máquinas preparadas para el aprendizaje.
Roberto García (@1GbDeInfo)
