Metasploitable2 - Bruteforce DVWA con Hydra

 

In questo scenario, abbiamo un sito web, DVWA (Damn Vulnerable Web Application), parte di Metasplotable2.
Ci e' stato chiesto di controllare la sicurezza dell'utente "admin".
 ( La password e' "password", ma  facciamo finta di sapere solo il nome "admin").

Useremo una tecnica chiamata "brute force" (forza bruta), dove senza tanta finezza, si provano gli utenti e/o password da una o piu' liste, uno dopo l'altro, fino a quando si trova quella giusta, o finisce la lista.

Intercetteremo un  login con password sbagliata per avere le informazioni necessarie da usare con Hydra THC.
I programmi e  liste usate sono tutte incluse in Kali.

Pentesting mini-lab: Metasploitable2 Setup

L'obbiettivo per questo tutorial e' alla fine avere 2 macchine virtuali, una VM che  fa da "server" dei vari servizi (metasplotable), e una per attaccare e testare i detti servizi (kali/parrot/arch/debian/windows, osx).

Metasploitable e' una macchina virtuale (VM), fatta da Rapid7 (The Metasploit Project ) e basata su Ubunto linux.

E' utilizzata per simulare un web server, fare test di penetrazione "locali", e creare un mini-laboratorio per imparare/provare attrezzi, exploits e tecniche in modo legale e sicuro.
Metasploitable VM e' intenzionalmente non sicura.
 * mai lasciarla esposta al Network "esterno" e internet.
    No NAT e No "bridged" virtual adapter

Metasploitable3 richede:
    65 GB Available space on drive, 4.5 GB RAM
    Host OS capace di usare:  
      Packer, Vagrant, Vagrant Reload Plugin, VirtualBox, libvirt/qemu-kvm, or vmware (paid license)
      Internet connection
      La ISO del Sistema Operativo che vuoi simulare ((Guest) (Windows10/server,redhat/ubunto/etc)) per poi "prepararla su misura"...

La piu' vecchia Metasloitable2 e' invece distribuita già fatta e pronta da scaricare (800Mb), e con richeste molto piu' modeste.
La VM ha bisogno di solo 256 Mb di RAM, e una decina di Gb di spazio Hard Disk.
Oltre naturalmente a  VirtualBox /VMware e una VM per connettersi alle applicazioni di  Metasploitable2.

Con 2Gb di RAM si possono ad esempio usare 256Mb per metasploitable VM, 768Mb per Kali/Parrot/Arch/debian VM, e lasciare 1024 (1Gb) per l'Host computer.