VM vulnerabili

Per esercitarsi legalmente e in sicurezza negli attacchi servono obiettivi che si è autorizzati a compromettere. Le VM intenzionalmente vulnerabili sono state create proprio per questo.

Contengono vulnerabilità note, così può imparare a eseguire scansioni, exploit e attività post-exploitation in un laboratorio controllato.

Metasploitable 2 è una VM basata su Ubuntu e intenzionalmente vulnerabile, sviluppata da Rapid7. Esegue numerosi servizi obsoleti e sfruttabili, come vsftpd, Samba e una vecchia versione di Apache.

È un obiettivo classico per imparare a usare Metasploit e a sfruttare le vulnerabilità di rete.

Metasploitable 2 utilizza credenziali deboli e ben note, così può accedere dopo un exploit o durante esercitazioni di brute force.

• Nome utente: msfadmin
• Password: msfadmin

Non esponga mai questa VM a Internet: è estremamente insicura per progettazione.

DVWA (Damn Vulnerable Web Application) è un'applicazione web PHP/MySQL progettata per essere insicura. È ideale per imparare attacchi web come SQL injection, XSS, command injection e abuso del caricamento di file.

DVWA consente di impostare un livello di sicurezza che modifica la difficoltà di sfruttamento di ogni vulnerabilità:

• Low: nessuna protezione, livello più semplice.
• Medium: filtraggio debole.
• High: protezione più efficace, ma ancora aggirabile.
• Impossible: mostra il codice sicuro come riferimento.

Il modo più rapido per eseguire DVWA è usare Docker. In questo modo l'applicazione viene avviata sulla porta 80 dell'host del laboratorio o di una VM dedicata.

Oltre a Metasploitable e DVWA, esistono molti altri ambienti di esercitazione:

• OWASP Juice Shop: vulnerabilità di un'applicazione web moderna.
• bWAPP: oltre 100 vulnerabilità web.
• VulnHub: VM scaricabili per esercitarsi da boot a root.
• HackTheBox / TryHackMe: laboratori online.

Dopo aver importato una VM obiettivo, verifichi che Kali possa raggiungerla sulla rete isolata del laboratorio. Individui l'indirizzo IP dell'obiettivo ed esegua un ping, oppure lo cerchi con una scansione.

Gli exploit spesso danneggiano o arrestano un obiettivo. Crei uno snapshot pulito di ogni VM vulnerabile subito dopo la configurazione.

Quando un servizio si arresta o il disco si riempie di payload, ripristini lo snapshot e riprovi.

Queste VM non hanno alcuna sicurezza. Se sono raggiungibili da Internet, gli attaccanti reali le comprometteranno in pochi minuti e potrebbero usarle per spostarsi nella rete.

• Le mantenga su reti host-only o interne.
• Le spenga quando non le utilizza.

Obiettivi diversi insegnano competenze diverse:

• Metasploitable: sfruttamento dei servizi di rete con Metasploit e Nmap.
• DVWA / Juice Shop: attacchi alle applicazioni web con Burp Suite e injection manuale.

Un laboratorio completo esegue solitamente almeno un obiettivo di ciascun tipo.

Scelga l'obiettivo giusto per l'attività.

Ora dispone di obiettivi di esercitazione legali:

• Metasploitable 2: servizi di rete vulnerabili (login msfadmin/msfadmin).
• DVWA: applicazione web vulnerabile con livelli di sicurezza da Low a Impossible.
• Crei uno snapshot prima degli attacchi e non esponga mai queste VM a Internet.

Prossimo argomento: creare la rete isolata che le collega.