Web Application

OWASP DVWA – Brute Force (Düşük Seviye): Burp Suite ile Kimlik Doğrulama Ekranında Kaba Kuvvet Saldırısının Gerçekleştirilmesi

Yazarı:

06/03/2017

2598

views

Web uygulamaları sızma testleri sırasında kaba kuvvet saldırıları ile hedef uygulamaya giriş yapılmaya çalışılabilir. Bu yazıda, OWASP DVWA (Damn Vulnerable Web App) üzerindeki düşük zorluk seviyesindeki Brute Force açıklığı Burp Suite aracı ile istismar edilecek ve hedef uygulamada oturum açılacaktır.

Pentist: Sızma Testleri ve Bilgi Güvenliği Danışmanlık Hizmetleri

Uygulamada oturum açmak için kullanıcıdan kullanıcı adı ve parola bilgisi beklenmektedir.

Bu ekrana yanlış bir bilgi girildiğinde hata mesajı ile karşılaşılmakta olduğu ve erişim bilgilerinin URL üzerinden taşındığı görülmektedir.

URL bilgisi aşağıdaki gibidir.

http://192.168.133.147/dvwa/vulnerabilities/brute/?username=deneme&password=Parola123&Login=Login#

Ayrıca hata alındığında gelen hata mesajı aşağıdaki gibidir.

Username and/or password incorrect.

Kullanıcı adı ve parola bilgisine karşı saldırı gerçekleştirmek için Burp Suite aracı kullanılabilir. Burp Suite ile araya girildiğinde (değişiklik yapılmayacağı için “Intercept On” yapılmasına gerek yoktur) HTTP History sekmesinde bu talep görülmektedir. Talep sağ tıklanıp Intruder‘a gönderilerek kaba kuvevt saldırısı için ayarlamalar gerçekleştirilebilir.

Böylece Intruder sekmesinin aktifleştiriği görülecektir.

Intruder-Position sekmesine gelindiğinde tüm değişkenlerin kaba kuvvet saldırısı için seçildiği görülecektir.

Sadece “username” ve “password” alanlarına karşılık gelen değerlere kaba kuvvet saldırısı yapılacağı için önce “Clear” butonuna tıklanır, sonra da ilgili 2 değer (“deneme” ve “Parola123”) seçilerek “Add” butonuna tıklanır.

Sonraki adımda ise saldırı tipi seçilir. Bu örnek için Cluster Bomb seçilmiştir.

Intruder-Payloads sekmesinde seçilen parola ve kullanıcı adı değeri için 2 adet Payload ayarlanacaktır. Bu örnek için “Runtime File” seçilecektir.

“username” alanı için Kullanicilar.txt dosyası verilebilir.

İkinci alan olarak “password” alanı için de “Runtime File” seçilebileceği gibi, “Simple List” seçiminde kalınıp parola listesi verilebilir.

Böylece dosya içerisindeki değerler listelenmiş de olur.

Arzu edilirse “Add” butonu kullanılarak, bu listeye yeni değerler de eklenebilir. Böylece “Payload Count” değerininm arttığı da görülmektedir.

Sonraki adımda ise hangi şart sağlandığında başarılı olunduğunu görmek için bir ifade hazırlanacaktır. Bunun için Intruder-Options sekmesindeki Grep-Match ayarı kullanılabilir.

Öncelikle tüm değerler seçilerek, “Clear” butonuna tıklanır ve ifadelerin tamamı temizlenir. Sonra da hatalı erişimde alınan “Username and/or password incorrect.” mesajındaki “incorrect” ifadesi bayrak olarak kullanılacaktır.

Gerçekleştirilen ayarlamalardan sonra kaba kuvvet saldırısına başlanabilir.

8 kullanıcı adı ve 10 parola değeri (80 değer) için kaba kuvvet saldırısı gerçekleştirildiğinde “Incorrect” kolonu seçili olmayan ve “Lenght” değeri diğerlerinden farklı gelen değer çiftleri (admin/password, smithy/password, gordonb/abc123, 1337/charley) ile oturum açılabileceği tespit edilmiştir. Tespit edilen bu değerler renklendirilmiştir.

Böylece bu bilgilerden biri (admin/password) ile oturum açılabilmiştir.

Not: Orta zorluk seviyesindeki Brute Force açıklığı ile yanlış denemelerden sonra belli bir süre boyunca (2 saniye gibi) “sleep(2)” gibi bir komut sayesinde uygulama beklemektedir. Saldırının yavaşlaması haricinde saldırı benzer şekilde gerçekleştirilebilir.

İlgili Kaynak Kod:

<?php

if( isset( $_GET['Login'] ) ) {
    $user = $_GET['username'];
    $pass = $_GET['password'];
    $pass = md5($pass);

    $qry = "SELECT * FROM `users` WHERE user='$user' AND password='$pass';";
    $result = mysql_query( $qry ) or die( '<pre>' . mysql_error() . '</pre>' );

    if( $result && mysql_num_rows( $result ) == 1 ) {
        // Get users details
        $i=0; // Bug fix.
        $avatar = mysql_result( $result, $i, "avatar" );

        // Login Successful
        echo "<p>Welcome to the password protected area " . $user . "</p>";
        echo '<img src="' . $avatar . '" />';
    } else {
        //Login failed
        echo "<pre><br>Username and/or password incorrect.</pre>";
    }
    mysql_close();
}
?>