Web applicationpenetrationtest その1_解答

2 /42
1. Webアプリのペネトレーションテストのスキルアップ

3 /42
 ツール、言語
◦ ブルートフォース特化系
 Hydra ★会社で使うと多分怒られる
◦ プロキシ系
 Burp Suite ★会社で使うと多分怒られる
◦ スクリプト言語系
 Python ★使い方次第
 問題＆解き方＆解答

4 /424
Pentester Academyの無料の問題からいくつか出題
ツール使うか、プログラミングして解いてください。
ツール：Hydra、Metasploit、IronWASP、ZAPなどなど、、
単純な認証突破の問題なのでPythonとかでも解けます。

5 /42
 プロキシ型のWAPツール。
◦ Burp Proxy
 ブラウザ-target アプリケーション間のMITM。
◦ Burp Spider
 トラフィックの調査、脆弱性の発見等。
◦ Burp Web Vulnerability Scanner
 脆弱性のチェック。
◦ Burp Sequencer
 シーケンス番号のランダム性のチェック。
などなど
 便利なところ
◦ 勝手にチェックしてくれる。大体何でもできる。
 イマイチなところ
◦ フリー版は機能制限あり。
画面

6 /42
 パスワードクラッカー。
◦ http、telnet、ftp、mysql、、、等に対応。
◦ http://www.thc.org/thc-hydra/
 基本的な使い方
# hydra –l ユーザー名 –p パスワード server protocol path
# hydra –L ユーザー名リスト.txt –P パスワードリスト.txt server protocol path
protocolの例： ftp ftps http[s]-{head|get} http[s]-{get|post}-form
 便利なところ
◦ 認証方式とかをある程度勝手に認識してくれる。高速。
 イマイチなところ
◦ 柔軟性に欠ける。

7 /42
 Python 3を使いました。
 使ったライブラリ
◦ Requests ⇒ http通信用
◦ Hashlib ⇒ MD5の計算用
◦ base64 ⇒ Base64の計算用
◦ Itertools ⇒ パスワード文字列生成
（使用例）
def makePwList(str, n):
pwList = []
a = list(itertools.product(str, repeat = n))
for b in a:
pwList.append(''.join(b))
return pwList
def mymd5(str):
return hashlib.md5(str.encode()).hexdigest()

8 /42
 情報収集：Reconnaissance
◦ 情報を収集する。（データフロー、フィンガープリント、ソース）
 Wireshark、Blind Elephant、httprint
 マッピング：Mapping
◦ ターゲットアプリケーションの検査。
 Burp Spider、SprAJAX、WebScarab
 発見：Discovery
◦ ターゲットアプリケーションの脆弱性の発見。
 エクスプロイト：Exploit
◦ 脆弱性を実証する。
SANS SEC542より

9 /42
http://pentesteracademylab.appspot.com/lab/webapp/1
上記のページにサインインしてください。
ペネトレーションテスト練習サイトなので多少負荷かけてもOKです。
 ヒント文字白にしてあるので、見たい人は見てください
①Company Domain: PentesterAcademy.com
②ユーザー名のヒント: jack, admin
③パスワードは5文字でxyzのみが使われている。
（例：xxyyz, xyzxy, xyxxx、、、）

10 /42
◦ ヒントを使う。
◦ パケット内容とソースからGETメソッド＋FORM認証とわかる。
◦ クエリストリング key= email, password

11 /42
◦ Burp Suite、ブラウザのプロキシ設定。
◦ 1回通信してパケットを取得。

12 /42
◦ xyzでブルートフォース。 Responseのlengthが他と違って、
内容にFailedの無いユーザー名、パスワードの
組み合わせが1つ見つかる。

14 /42
http://pentesteracademylab.appspot.com/lab/webapp/basicauth
②ユーザー名のヒント: nick, admin
③パスワードは5文字でasdのみが使われている。
（例：asddd,aassd, ssdaa、、、）

15 /42
◦ パケット内容とソースからPOSTメソッド＋BASIC認証とわかる。

16 /42
◦ crunchでパスワードファイルを生成。
◦ Hydraでユーザー名、パスワードを探す。

18 /42
http://pentesteracademylab.appspot.com//lab/webapp/auth/1/login
③パスワードは5文字でmnoのみが使われている。
（例：mmmmm, nmonm, oooom 、、、）
Locationヘッダーに注目。

19 /42
◦ パケット内容とソースからメソッド不明＋BASIC認証とわかる。
◦ クエリストリング key= email, password

20 /42
◦ Burp Suite、ブラウザのプロキシ設定。
◦ 1回通信してパケットを取得。
メソッドが指定されていない場合
⇒メソッドをいろいろ試す。HEAD、GET、POST、PUT、PATCH、、、

21 /42
◦ mnoでブルートフォース。
Responseのlength、
Location headerが他と違うのが1つ見つかる。

23 /42
http://pentesteracademylab.appspot.com//lab/webapp/digest
③パスワードは5文字でasdのみが使われている。
（例：asddd,aassd, ssdaa、、、）

24 /42
◦ パケット内容とソースからGETメソッド＋DIGEST認証とわかる。

25 /42
◦ crunchでパスワードファイルを生成。
◦ Hydraでユーザー名、パスワードを探す。

27 /42
http://pentesteracademylab.appspot.com//lab/webapp/digest2
③パスワードは5文字でxyzのみが使われている。
（例：xxxyx,xyzxy, zzzzx、、、）

28 /42
◦ パケット内容とソースからGETメソッド＋DIGEST認証とわかる。

29 /42
◦ パケット情報をもとにResponseパケットを生成する。
 realm = "Pentester Academy"
 opeque = ""
 uri = "/lab/webapp/digest2/1"
 qop(qop-option) = 無し
quality of protectionが無い場合の設定パラメーター（RFC 2617）
cnonce
nonce-count
This MUST NOT be specified if the server did not send a qop directive in
the WWW-Authenticate header field.

30 /42
Requestの計算方法（RFC 2617 3.2.2）
MD5(
MD5(ユーザー名 ":" realm ":" パスワード) ":"
nonce ":"
MD5(HTTPのメソッド ":" コンテンツのURI)
)
ヘッダの生成方法
"Authorization" Digest username=ユーザー名, realm=realm, nonce=nonce,
uri=url, response=response
パケット内容を当てはめた結果
MD5(
MD5(ユーザー名:Pentester Academy:パスワード) :
サーバーから取得したnonce:
MD5(GET:/lab/webapp/digest2/1)
)
ヘッダの生成方法
"Authorization" Digest username=ユーザー名, realm= Pentester Academy,
nonce=サーバーから取得したnonce, uri=/lab/webapp/digest2/1, response=
上記で計算したresponse

33 /42
http://pentesteracademylab.appspot.com/lab/webapp/auth/form/1
③フォームのパスワードは5文字でmnoのみが使われている。
④BASIC認証のパスワードは5文字でvieのみが使われている。

34 /42
◦ パケット内容とソースからPOSTメソッド＋BASIC認証とわかる。
◦ Basic realm="PainGames 1.0 :)"

35 /42
◦ プログラム
結果

37 /42
http://pentesteracademylab.appspot.com//lab/webapp/digest3
①ユーザー名のヒント：nick, jack, vivek, admin, webadmin, sqladmin,
jill, natasha
②パスワードは6文字で123xyzのみが使われている。
③盗聴したpcapファイルの情報を使ってよい。

38 /42
◦ パケット内容からGETメソッド＋FORM認証とわかる。
◦ パケットの内容
 username="webadmin"
 realm="Pentester-Academy"
 nonce="X95LDujmBAA=9c8ec8a0aeee0ddf7f24a5a75c57d0f90245d0f5"
 uri="/"
 algorithm=MD5
 response="0fd7c603fdf61e89bfc9c95fb73e343a"
 qop=auth
 nc=00000001
 cnonce="89b024ea3adb54ec"

39 /42
◦ DIGEST認証のパケットから、パスワードを算出する。
Request計算方法（RFC 2617 3.2.2）
MD5(
MD5(ユーザー名 ":" realm ":" パスワード) ":"
nonce ":"
nc ":" cnonce ":" qop ":" MD5(HTTPのメソッド ":" コンテンツのURI)
)
パケットの内容をあてはめた結果
MD5(
MD5(webadmin:Pentester-Academy:パスワード) :
X95LDujmBAA=9c8ec8a0aeee0ddf7f24a5a75c57d0f90245d0f5:
00000001:89b024ea3adb54ec:auth:MD5(GET:/)
)

40 /42
◦ プログラム
◦ 実行結果

42 /42
 SQLインジェクション
 ブラインドSQLインジェクション
 反射型XSS（Reflected XSS）
 格納型XSS（Stored XSS）
 DOM based XSS
 CSRF

Web applicationpenetrationtest その1_解答

Recommended

Recommended

More Related Content

What's hot

What's hot (11)

Viewers also liked

Viewers also liked (20)

Similar to Web applicationpenetrationtest その1_解答

Similar to Web applicationpenetrationtest その1_解答 (20)

More from Tetsuya Hasegawa

More from Tetsuya Hasegawa (20)

Web applicationpenetrationtest その1_解答

Editor's Notes