WOJSKOWA AKADEMIA TECHNICZNA

SPRAWOZDANIE Z LABORATORIUM NR 2

Prowadzący:

mgr inż. Bartosz Kryoski

Wykonał :

Robert Skrzypczyoski, Wojciech Węgrecki

Grupa:

I9G2S1

1) Cel zadania laboratoryjnego.

Celem zadania było badanie podatności aplikacji internetowej na ataki.
Sprawdzaliśmy strukturę oraz zabezpieczenia stosowane w przykładowej
aplikacji przedstawionej przez prowadzącego. Za pomocą narzędzi Burp
Suite oraz Wapiti mieliśmy poznad budowę aplikacji oraz wykonad audyt
jej bezpieczeostwa oraz wygenerowad raport.

2) Przebieg ćwiczenia laboratoryjnego.

Testowana aplikacja znajdowała się pod adresem

http://10.3.236.112

.

Okazało się że jest to aplikacja sklepu „SuperVeda”. Kolejnym krokiem
było utworzenie konta i zalogowanie się na nie.

Rys. 1. Widok aplikacji po zalogowaniu

Następnie skonfigurowaliśmy proxy w przeglądarce.

Rys. 2. Ustawienie adresu proxy w przeglądarce internetowej.

Czynnośd tą należało wykonad aby wszelkie żądania i odpowiedzi aplikacji były
wykonywane i analizowane przy pomocy narzędzia Burp Suit. W tym programie
po uruchomieniu przeszliśmy do zakładki target->scope, w której wpisaliśmy
adres IP oraz numer portu (10.3.236.112:8080) analizowanej aplikacji
Następnie w zakładce spider->options dodaliśmy login i hasło założonego przez
nas konta. Ostatnią czynnością jaką wykonaliśmy było przejście do target->site
map i wciśnięcie prawego klawisza na adresie naszej aplikacji internetowej i
wybranie opcji spider this host. Od tej chwili wszystkie żądania i odpowiedzi
były przechwytywane przez program. Poniżej znajduję się okno programu wraz
ze strukturą analizowanej aplikacji.

Rys. 3 .Okno programu Burp Suit przedstawiające strukturę aplikacji.

Kolejnym krokiem było wykonanie audytu bezpieczeostwa podanej aplikacji
internetowej. Do jego wykonania użyliśmy programu Wapiti, który po wpisaniu
polecenia:
Cd/Pentest/web/wapiti
Python wapiti.py http://10.3.236.112
wykonał audyt, a także wygenerował z niego raport.

Rys. 4.Raport wygenerowany za pomocą Wpiti

Z raportu wynika, że aplikacja jest wysoce podatna na ataki SQL Injection, Blind
SQL Injection, File Handling, Cross Site Scripting, CRLF i Commands execution.

Najwiecęj podatności jest typów:
-SQL Injection- jest to luka w zabezpieczeniach aplikacji internetowych
polegająca na nieodpowiednim filtrowaniu lub niedostatecznym typowaniu i
późniejszym wykonaniu danych przesyłanych w postaci zapytao SQL do bazy
danych.
-Cross Site Scripting- jest to sposób ataku na serwis WWW polegający na
osadzeniu w treści atakowanej strony kodu (zazwyczaj w JavaScript), który

wyświetlony innym użytkownikom może doprowadzid do wykonania przez nich
niepożądanych akcji.

3) Wnioski

Przeprowadzone zadanie laboratoryjne miało na celu ukazanie podatności i
możliwości ich wykorzystania do ataków na aplikacje internetowe.

Za pomocą dwóch programów zdołaliśmy poznad strukturę i wygenerowad
audyt bezpieczeostwa aplikacji. Poznaliśmy sposób funkcjonowanie tej aplikacji
przez podglądanie i możliwośd edycji przesyłanych żądao i odpowiedzi.
Wykorzystane przez nas narzędzia mogą byd bardzo pomocne przy
zabezpieczaniu tworzonych przez nas aplikacji. Szczególnie za pomocą Wapiti,
które generuje dośd szczegółowy raport na temat podatności i ich typów.

Wykonanie tego zadania pokazało nam jak dużo jest możliwych luk w
zabezpieczeniach aplikacji i jak ważne jest ich eliminowanie. Szczególne
znaczenie ma to w aplikacjach związanych z finansami, gdyż niesie to za sobą
odpowiedzialnośd za cudzy majątek.