DVWA ou Damn Vulnerable Web Applications fait généralement partie des premiers travaux pratiques sur lesquels on se penche pour débuter en audit/pentest de sécurité. Nous commençons donc avec les failles de type CSRF. Sécurité : Fonctionnement et impact d’une attaque CSRF L’objectif même de l’attaque est généralement d’exécuter une action, exemple : Créer un utilisateur sur un site web.

1. Compte Rendu Atelier 2 :
DVWA (2/4) : Solutions, explications et étude des protections
UNIVERSITÉ ABDELAMLEK ESSADI
FACULTE DES SCIENCES ET TECHNIQUES DE TANGER
MASTER : « SYSTEMES INFORMATIQUES ET RESEAUX »
 Réalisé par : - Encadré par :
- Rouzi Ayoub Mr. M Bouhorma

2. MASTER-SIR R a p p o r t | 2
AYOUB ROUZI
DVWA :
DVWA ou Damn Vulnerable Web Applications fait généralement partie des
premiers travaux pratiques sur lesquels on se penche pour débuter en
audit/pentest de sécurité.
Voici les principales failles de sécurité présentent dans DVWA:
- Brute Force
- Commande Execution
- CSRF
- Insecure CAPTCHA (non traité)
- File Inclusion
- SQL Injection
- SQL Injection (blind)
- Upload
- XSS reflected
- XSS stored.
Failles de type CSRF
On se connecte dans notre plateforme :
Nous commençons donc avec les failles de type CSRF.
Sécurité : Fonctionnement et impact d’une attaque CSRF
L’objectif même de l’attaque est généralement d’exécuter une action, exemple : Créer un
utilisateur sur un site web.

3. MASTER-SIR R a p p o r t | 3
AYOUB ROUZI
DVWA – CSRF – level “low”
On se retrouve donc devant un formulaire permettant de modifier le mot de passe de notre
utilisateur. Si nous sommes connectés en tant que “john” et que nous remplissons ce
formulaire, c’est le mot de passe de “john” qui sera changé, logique. On remarque, lorsque
l’on saisit un mot de passe dans le formulaire et que l’on clique sur “Change“, le mot de passe
apparaît directement dans l’URL :
- Et voilà le mot de passe changé :
- On peut ajouter un lien pour effectuer l’opération :
<a
href=localhost/dvwa/vulnerabilities/csrf/?password_new=weakpass&password_conf=weakpass&Change=Change#>
Voir ce lien pour plus d'information </a>

4. MASTER-SIR R a p p o r t | 4
AYOUB ROUZI
On se retrouve avec une URL raccourcie, par exemple :
Si l’on décide de se rendre sur cette URL alors que nous sommes déconnectés, nous aurons cette page en retour :
En effet, nous n’avons pas les droits suffisants pour effectuer cette action.

5. MASTER-SIR R a p p o r t | 5
AYOUB ROUZI
On voit donc un formulaire et une URL comme celle présente dans l’explication que j’ai faite plus haut :
Quoi qu’il en soit, je vous laisse tester une faille RFI avec une page Google page exemple :
Ici, on peut donc essayer de demander à la page de charger un fichier qui se situe hors de l’application web :
http://192.168.1.49/dvwa/vulnerabilities/fi/?page=../../../Net.txt&cmd=help

6. MASTER-SIR R a p p o r t | 6
AYOUB ROUZI
Le résultat :
on peut obtenir ce type d'information en appelant la fonction prédéfinie "phpinfo();".

7. MASTER-SIR R a p p o r t | 7
AYOUB ROUZI
Htaccess :
Niveau Medium :
On modifie le fichier
On essay d’acceder: