Pentesting2015 - Revision history

Dominik: /* QEMU */

2015-11-29T21:03:33Z

QEMU

← Older revision		Revision as of 21:03, 29 November 2015
Line 12:		Line 12:
	Anschließend installiert man [https://packages.debian.org/search?keywords=vde2 VDE] und [https://packages.debian.org/search?keywords=uml-utilities User-mode Linux].		Anschließend installiert man [https://packages.debian.org/search?keywords=vde2 VDE] und [https://packages.debian.org/search?keywords=uml-utilities User-mode Linux].

	Der Nutzer der die virtuellen Maschinen startet muss der Gruppe '''vde2-net''' hinzugefügt werden, sollte diese nicht autmomatisch erstellt worden sein muss man diese via <pre>~~newgrp~~ vde2-net</pre> erstellen.		Der Nutzer der die virtuellen Maschinen startet muss der Gruppe '''vde2-net''' hinzugefügt werden und der Nutzer muss sich anschließend neu anmelden via <pre>newgrp vde2-net</pre> der Gruppe beitreten, sollte diese nicht autmomatisch erstellt worden sein muss man diese via <pre>addgroup vde2-net</pre> erstellen.

	In der /etc/network/interfaces des Hostsystems wird folgender Eintrag hinzugefügt		In der /etc/network/interfaces des Hostsystems wird folgender Eintrag hinzugefügt
Line 22:		Line 22:
	vde2-switch -t mytap		vde2-switch -t mytap
	</pre>		</pre>
			und
			<pre>
			ifup mytap
			</pre>
			ausgeführt werden.

	Nun muss die virtuelle Maschine einmal mittels:		Nun muss die virtuelle Maschine einmal mittels:

Dominik: /* QEMU */

2015-11-29T21:00:52Z

QEMU

← Older revision		Revision as of 21:00, 29 November 2015
Line 12:		Line 12:
	Anschließend installiert man [https://packages.debian.org/search?keywords=vde2 VDE] und [https://packages.debian.org/search?keywords=uml-utilities User-mode Linux].		Anschließend installiert man [https://packages.debian.org/search?keywords=vde2 VDE] und [https://packages.debian.org/search?keywords=uml-utilities User-mode Linux].

	Der Nutzer der die virtuellen Maschinen startet muss der Gruppe '''vde2-net''' hinzugefügt werden.		Der Nutzer der die virtuellen Maschinen startet muss der Gruppe '''vde2-net''' hinzugefügt werden, sollte diese nicht autmomatisch erstellt worden sein muss man diese via <pre>newgrp vde2-net</pre> erstellen.

	In der /etc/network/interfaces des Hostsystems wird folgender Eintrag hinzugefügt		In der /etc/network/interfaces des Hostsystems wird folgender Eintrag hinzugefügt

Dominik at 20:59, 29 November 2015

2015-11-29T20:59:49Z

← Older revision		Revision as of 20:59, 29 November 2015
Line 1:		Line 1:
	Wikiseite für das Thema Pentesting vom IT-Security Workshop 2015.		Wikiseite für das Thema Pentesting vom IT-Security Workshop 2015.

			=QEMU=
			Hier wird die Einrichtung von QEMU und der Verwendung von Virtual Distributed Ethernet(VDE) beschrieben. Dies ermöglicht das Betreiben mehrerer virtueller Maschninen die sich in einem gemeinsamen Netzwerk befinden.
			Als Betriebssystem liegt dieser Anleitung Debian zugrunde.

			Als erstes ist es notwendig sich qemu zu installieren über das Paket:
			[https://packages.debian.org/search?searchon=names&keywords=qemu-kvm qemu]

			Auf [https://people.debian.org/~aurel32/qemu/ dieser Seite] kann man sich fertige QEMU Images von Debian herunterladen um sie nicht selbst bauen zu müssen.

			Anschließend installiert man [https://packages.debian.org/search?keywords=vde2 VDE] und [https://packages.debian.org/search?keywords=uml-utilities User-mode Linux].

			Der Nutzer der die virtuellen Maschinen startet muss der Gruppe '''vde2-net''' hinzugefügt werden.

			In der /etc/network/interfaces des Hostsystems wird folgender Eintrag hinzugefügt
			<pre>
			auto mytap
			iface mytap inet static
			address 10.0.3.1
			netmask 255.255.255.0
			vde2-switch -t mytap
			</pre>

			Nun muss die virtuelle Maschine einmal mittels:
			<pre>
			qemu-system-x86_64 -enable-kvm -m 1024 debian_wheezy_amd64_vm1.qcow2
			</pre>
			gestartet werden.
			Wobei mit ''-m'' die Menge zugewiesenen Arbeitsspeichers festgelegt wird und mittels ''-enable-kvm'' eine schnellere Virtualisierung erfolgt


			Die /etc/network/interfaces des virtuellen Systems wird wie folgt verändert
			<pre>
			#allow-hotplug eth0
			#iface eth0 inet dhcp

			iface eth0 inet static
			address 10.0.3.2
			gateway 10.0.3.1
			netmask 255.255.255.0
			</pre>

			Es werden also statische Adressen innerhalb des Virtuellen Netzwerks vergeben alternativ kann man einen DHCP Server wie [https://packages.debian.org/jessie/dnsmasq dnsmasq] verwenden, der nur auf dem TAP Interface (mytap) Adressen vergibt.

			In der oben angegeben Konfiguration kann man die virtuelle Maschine jetzt mittels
			<pre>
			qemu-system-x86_64 -enable-kvm -net nic -net vde,sock=/var/run/vde2/mytap.ctl -m 1024 IMAGE.qcow
			</pre>
			starten muss dann jedoch noch in der virtuellen Maschine als root
			<pre>
			ifup eth0
			</pre>
			ausführen um die Statische Adresse zu erhalten.

			Möchte man mehrere virtuelle Maschinen zeitgleich laufen lassen muss zudem noch eine MAC Adresse angegeben werden:
			<pre>
			qemu-system-x86_64 -enable-kvm -net nic,macaddr=52:54:00:12:01:00 -net vde,sock=/var/run/vde2/mytap.ctl IMAGE.qcow
			</pre>

			Die virtuellen Maschinen haben keinen Zugang zu dem Netzwerk des Host Rechners, benötigt man dies um bspw. Pakete runterzuladen muss die /etc/network/interfaces der betreffenden Maschine wie folgt geändert werden:
			<pre>
			allow-hotplug eth0
			iface eth0 inet dhcp

			#iface eth0 inet static
			# address 10.0.3.2
			# gateway 10.0.3.1
			# netmask 255.255.255.0
			</pre>

			Nun startet man die virtuelle Maschine einfach mittels:
			<pre>
			qemu-system-x86_64 -enable-kvm -m 1024 debian_wheezy_amd64_vm1.qcow2
			</pre>
			um Internet Zugang zu erhalten, der Host und das virtuelle System sehen sich jedoch in dieser Konfiguration nicht.

			Die Anleitung wurde auf Basis des [https://wiki.debian.org/QEMU Debian Wiki Artikels über QEMU] erstellt.

	=OWASP BWA=		=OWASP BWA=

Paul Wilhelm: /* WebGoat */

2015-10-05T15:05:48Z

WebGoat

@@ Line 185: / Line 185: @@
 pi@raspberrypi ~/webgoat $ wget https://github.com/WebGoat/WebGoat-Legacy/releases/download/v6.0.1/WebGoat-6.0.1-war-exec.jar
 pi@raspberrypi ~/webgoat $ java -jar WebGoat-6.0.1-war-exec.jar
 </pre>

Paul Wilhelm: /* WebGoat */

2015-10-05T15:02:21Z

WebGoat

← Older revision		Revision as of 15:02, 5 October 2015
Line 176:		Line 176:

	=WebGoat=		=WebGoat=
			WebGoat ist ein Java-basierter Webserver, der Sicherheits-Schwachstellen und dazugehörige interaktive Lernseiten enthält.

			WebGoat ist in OWASP BWA enthalten und muss somit nicht extra installiert werden. Möchte man trotzdem WebGoat einzeln zum Beispiel auf dem Raspberry Pi installieren, so braucht man es nur herunterzuladen und zu starten:

			<pre>
			pi@raspberrypi ~ $ mkdir webgoat
			pi@raspberrypi ~ $ cd webgoat/
			pi@raspberrypi ~/webgoat $ wget https://github.com/WebGoat/WebGoat-Legacy/releases/download/v6.0.1/WebGoat-6.0.1-war-exec.jar
			pi@raspberrypi ~/webgoat $ java -jar WebGoat-6.0.1-war-exec.jar
			</pre>

Paul Wilhelm: /* DVWA auf Rasperry Pi einrichten */

2015-10-05T14:56:48Z

DVWA auf Rasperry Pi einrichten

← Older revision		Revision as of 14:56, 5 October 2015
Line 23:		Line 23:
	*Joomla version 1.5.15 (PHP, released November 4, 2009)		*Joomla version 1.5.15 (PHP, released November 4, 2009)

			=DVWA=
	==DVWA auf Rasperry Pi einrichten==		==DVWA auf Rasperry Pi einrichten==

Paul Wilhelm: /* OWASP BWA auf VM einrichten */

2015-10-05T14:56:27Z

OWASP BWA auf VM einrichten

← Older revision		Revision as of 14:56, 5 October 2015
Line 1:		Line 1:
	Wikiseite für das Thema Pentesting vom IT-Security Workshop 2015.		Wikiseite für das Thema Pentesting vom IT-Security Workshop 2015.

			=OWASP BWA=
	==OWASP BWA auf VM einrichten==		==OWASP BWA auf VM einrichten==

Paul Wilhelm: /* XSS */

2015-10-05T14:55:57Z

XSS

← Older revision		Revision as of 14:55, 5 October 2015
Line 172:		Line 172:

	https://xss-game.appspot.com		https://xss-game.appspot.com

			=WebGoat=

Paul Wilhelm: /* OWASP BWA enthaltene Projekte */

2015-10-05T14:55:25Z

OWASP BWA enthaltene Projekte

← Older revision		Revision as of 14:55, 5 October 2015
Line 18:		Line 18:
	Von diesen haben wir die folgenden Projekte ausgewählt und beschreiben sie weiter unten im Detail:		Von diesen haben wir die folgenden Projekte ausgewählt und beschreiben sie weiter unten im Detail:

			*OWASP WebGoat
	*Damn Vulnerable Web Application		*Damn Vulnerable Web Application
	*Joomla version 1.5.15 (PHP, released November 4, 2009)		*Joomla version 1.5.15 (PHP, released November 4, 2009)

Paul Wilhelm: /* =OWASP BWA enthaltene Projekte */ Heading formatting corrected

2015-10-05T14:54:01Z

=OWASP BWA enthaltene Projekte: Heading formatting corrected

← Older revision		Revision as of 14:54, 5 October 2015
Line 11:		Line 11:
	https://www.owasp.org/index.php/OWASP_Broken_Web_Applications_Project		https://www.owasp.org/index.php/OWASP_Broken_Web_Applications_Project

	===OWASP BWA enthaltene Projekte==		===OWASP BWA enthaltene Projekte===
	Das OWASP BWA enthält eine große Anzahl an Projekte und eine vollständige Liste findet man unter		Das OWASP BWA enthält eine große Anzahl an Projekte und eine vollständige Liste findet man unter