Como Instalar DVWA

Que es DVWA:

Es una aplicación web PHP / MySQL que es muy vulnerable. Sus principales objetivos son ayudar a los profesionales de seguridad a probar sus habilidades y herramientas en un entorno legal, ayudar a los desarrolladores web a comprender mejor los procesos de seguridad de las aplicaciones web y ayudar a los profesores / estudiantes a enseñar / aprender seguridad de aplicaciones web en un entorno de clase .

Como instalar DVWA Primero podemos descarga el archivo .zip desde la pagina de DVWA http://www.dvwa.co.uk/

una vez descargado el archivo .zip procedemos a descomprimirlo y pegarlo en nuestra carpeta de publicación

en este caso estoy trabajando con ubuntu 18 asi que procedemos a pegar dicha carpeta en la ruta

/var/www/html

Luego editamos el archivo config.inc.php.dist y lo guardamos con el nombre config.inc.php

La edición sera la siguiente

colocar el nombre de la base de datos el nombre de usuario de la base de datos y la clave de la base de datos

$_DVWA[ 'db_database' ] = 'dvwa';

$_DVWA[ 'db_user' ] = 'deibis';

$_DVWA[ 'db_password' ] = '1234';

luego nos dirigimos a nuestro navegador e ingresamos a phpmyadmin

localhost/phpmyadmin y creamos la base de datos llamada DVWA

Luego nos dirigimos a la pagina de dvwa

localhost/dvwa

Y nos saldrá la siguiente ventana

El usuario y la clave por defecto es usuario: admin

clave: password

y nos saldrá la siguiente ventana

nos vamos hasta lo ultimo y le damos donde dice

create / reset database

luego volvemos a iniciar sección con el usuario y clave por defecto

y nos saldra la siguiente ventana

OK listo una vez ya instalado el DVWA podemos a proceder a realizar pruebas

una parte muy importante es la pestaña de DVWA security, ya que hay nos permite elegir el nivel de dificulta para realizar nuestra pruebas.

Tenemos dificulta baja media alta

imposible

nosotros iniciaremos con la baja para realizar unas pequeñas pruebas.

Nos dirigimos a SQL injection que nos ofrece DVWA

DVWA nos ofrece 3 opciones una donde podemos hacer la injection SQL

2 La vista del código y 3 una pequeña ayuda

en la parte de vista de código podemos ver como esta programado para realizar una consulta SQL

ok el primer error que podemos observar es este código es que no esta validando la inserción que realizamos por teclado.

El segundo error es que esta seleccionando los campo de primer nombre y segundo nombre de la tabla usuario pero esto a través de su ID

que pasa si colocamos 1 es nuestra injection SQL

sencillo nos trae en primer nombre y segundo nombre de la tabla usuario

si colocamos 2 es igual

como validar si esto es cierto

sencillo vamos a la base datos DVWA a la tabla user y vemos los usuarios

hay lo tenemos ID 1 es admin

ID 2 es gordon

que nos ofrece la pestaña de ayuda

nos da una breve descripción y su ves una pequeñas practica en el campo oculto en negro

Simplemente sombree y el te dara la opcion

cuando la insertamos en nuestra injectio SQL nos saldrá lo siguiente

DVWA es una excelente herramienta el cual podemos usar para aprender de la vulnerabilidad que puede presentar nuestro código. El ejemplo que mostré solo es una pequeña cosa con la cual se puede hacer DVWA, ya que tiene muchas funciones y validaciones.

---

La Libertad del Código es Directamente Proporcional al Desarrollo de una Organización