Belajar Menemukan dan Mengeksploitasi Celah Keamanan dengan bWAPP

Kalian ingin mencoba belajar tentang cara mengeksploitasi kerentanan pada sebuah webapps ? Atau kalian ingin mencoba memperdalam skill kalian dalam dunia hacking ? Kalian bisa mencoba bWAPP. Web Applocation yang sengaja dibuat memiliki banyak celah ini ditujukan agar kalian bisa mencoba belajar menemukan dan mengeksploitasi celah tersebut. Dan tentu saja ini bukan tindakan kriminal karena tidak merusak sistem orang lain secara ilegal.

Ini mirip DVWA.

Baca :

Install Damn Vulnerable Web Application ( DVWA ) di Ubuntu Linux

Pokoknya yang mau install hars siap dulu MySQL dan webserver nya (Apache2/Nginx).

Install LAMP di Ubuntu Server

Namun dengan vulnerability yang lebih banyak. Termasuk heartbleed, SMTP injection, dll. Menurut pihak ITSEC GAMES sendiri lebih dari 100 bug yang terdapat di bWAPP.

Berikut beberapa list bug yang ada di bWAPP :

1. SQL, HTML, iFrame, SSI, OS Command, PHP, XML, XPath, LDAP and SMTP injections
2. Blind SQL injection and Blind OS Command injection
3. Boolean-based and time-based Blind SQL injections
4. Drupal SQL injection (Drupageddon)
5. AJAX and Web Services issues (JSON/XML/SOAP)
6. Heartbleed vulnerability (OpenSSL) + detection script included
7. Shellshock vulnerability (CGI)
8. Cross-Site Scripting (XSS) and Cross-Site Tracing (XST)
9. phpMyAdmin BBCode Tag XSS
10. Cross-Site Request Forgery (CSRF)
11. Information disclosures: favicons, version info, custom headers,...
12. Unrestricted file uploads and backdoor files
13. Old, backup & unreferenced files
14. Authentication, authorization and session management issues
15. Password and CAPTCHA attacks
16. Insecure DistCC, FTP, NTP, Samba, SNMP, VNC, WebDAV configurations
17. Arbitrary file access with Samba
18. Directory traversals and unrestricted file access
19. Local and remote file inclusions (LFI/RFI)
20. Server Side Request Forgery (SSRF)
21. XML External Entity attacks (XXE)
22. Man-in-the-Middle attacks (HTTP/SMTP)
23. HTTP parameter pollution and HTTP verb tampering
24. Denial-of-Service (DoS) attacks: Slow Post, SSL-Exhaustion, XML Bomb,...
25. POODLE vulnerability
26. dll

Karena banyaknya celah di bWAPP, saya sarankan jangan di install di Sistem Operasi utama. Silahkan install di server yang terdapat dalam Virtual Machine . Untuk mengantisipasi dari kemungkinan orang lain yang ikut masuk ke sistem kalian nantinya.

Jika berminat, kalian bisa download bWAPP versi terbaru disini :

Download bWAPP

Atau jika kalian mals setup sana sini, bisa download bee-box. custom VM yang sudah pre-install bWAPP.

Doownload bee-box

Oke sekian artikel kali ini, semoga bermanfaat.