OWASP stands for Open Web Application Security Project, an online community dedicated to producing articles, methods, documents, tools and technologies in the field of web application security. Every 3.4 years or annually OWASP publishes a list of common and dangerous vulnerabilities encountered. Here is a list of 10 vulnerabilities 2020

What is the OWASP Top 10?

The OWASP Top 10 is a list of the 10 most common web vulnerabilities. It also shows the risks, impacts and countermeasures of these vulnerabilities. Updated every three to four years, Latest OWASP vulnerability list released in 2018.

OWASP Top 10 Vulnerabilities in 2020

Injection

Injection allowing attackers to pump malicious code through one application to another. These attacks exploit the operating system through system calls, the use of external programs via shell commands, as well as calls to the sub-database via SQL (i.e. SQL Injection). ). Entire scripts can be written in Perl, Python, and other languages ​​that attack poorly designed applications. Anytime an application uses an interpreter of any kind there is a risk of creating a security hole. Injection was ranked 1st in OWASP in 2018.

Broken Authentication

Broken authentication is a protective term for a number of vulnerabilities that attackers exploit to impersonate users to blatantly gain access to the system. It is roughly understood as impersonating the user’s identity. In general, broken authentication refers to weaknesses in two areas: session management and credential management. Both are classified as broken authentication because attackers use one of two ways to impersonate users: compromised session IDs or stolen credentials.

Attackers use a variety of strategies to take advantage of these weaknesses, ranging from massive credential stuffing attacks to highly targeted conspiracies to gain access to sensitive information. login credentials of a specific person.

Sensitive Data Exposure

Sensitive Data Exposure occurs when an application, company or organization inadvertently exposes personal data. SDE (Sensitive Data Exposure) is different from a data breach, in that an attacker will access and steal your information.

The loss of sensitive data occurs due to inadequate protection of the database where the information is stored. This can be the result of many reasons such as weak coding, no encryption, software bugs, or when someone mistakenly uploads data to the wrong database.

Different types of data may be displayed in some sensitive data. Bank account number, credit card number, healthcare data, session key, home address, phone number, date of birth and user account information such as username and password are one number of types of information that may be exposed. Although the disclosure is by the user, it is still on the OWASP list.

XML External Entities (XXE)

XML External Entities (also known as XXE) is a security vulnerability that allows an attacker to interfere with an application’s processing of XML data. It typically allows an attacker to view files on the application server’s file system and interact with any third-party back-end or external systems that the application can access.

In some situations, an attacker can escalate a XXE attack to compromise the underlying server or other backend infrastructure, by taking advantage of the XXE vulnerability to perform request spoofing attacks. server-side request (SSRF).

Broken Access control

Access control enforces the policy so that users cannot act outside of their authority. Errors often lead to unauthorized disclosure of information, modification or destruction of all data, or performance of features beyond the user’s limits. Common access control vulnerabilities include:

• Bypass checks access by modifying URLs, internal application state, or HTML pages, or simply using a custom API hack.
• Allows to change the primary key to another user’s record, allows viewing or editing of other people’s accounts.
• Enhanced privileges. Act as a user without logging in or act as an administrator when logged in as a user.
• Manipulating metadata, such as replaying or forging a JSON Web Token (JWT) access control token, or hidden cookies or fields, manipulated to elevate privileges or to abuse JWT disabling.
• CORS misconfiguration allows unauthorized API access.
• Force browsing to pages authenticated as user or to privileged pages as standard user. API access with missing access controls for POST, PUT, and DELETE.

Wrong security configuration

The following security configurations are improperly or unsafely configured security settings that put your system and data at risk. Essentially, any well-documented configuration changes, default settings, or technical problems on any component of your endpoint lead to misconfiguration.

Misconfiguration can happen due to a multitude of reasons. Modern network infrastructures are so complex that organizations often overlook important security settings, including new network equipment that is still configured by default. A developer can write flexible firewall rules and create network shares for his convenience while building software. Sometimes administrators allow configuration changes for testing or troubleshooting purposes and forget to return the original state resulting in misconfiguration. Some common security misconfiguration vulnerabilities are login security, user account management, password policy, and legacy protocols.

Cross Site Scripting (XSS)

Cross-site Scripting (XSS) is a client-side code injection attack. The attacker aims to execute malicious scripts in the victim’s web browser by injecting malicious code into a legitimate website or web application. The actual attack occurs when the victim visits a website or web application that executes malicious code. The website or web application becomes a vehicle for delivering malicious scripts to the user’s browser. Commonly used vulnerable targets for Cross-site Scripting attacks are forums, message boards, and comment-enabled websites.

A website or web application is vulnerable to XSS attacks if it uses unfiltered user input. User input must be parsed by the browser. XSS attacks can happen in VBScript, ActiveX, Flash, and even CSS. However, they are most common in JavaScript, mainly because JavaScript is the foundation for most browsing experiences. Almost everyone who learns about OWASP knows about this vulnerability.

Insecure Deserialization

Deserialization is the process of restoring this stream of bytes into a fully functional copy of the original object, in the exact state when it was serialized. The web logic can then interact with this object, just like any other object.

Serialization (serialization) is the process of converting complex data structures, such as objects and their fields, into a “flatter” format that can be sent and received as a sequential stream of bytes. The ordering of data lies in the purpose of:

• Write complex data to inter-process memory, files, or databases.
• Send complex data, such as over a network, between different components of an application or within an API call.

Importantly, when serializing an object, its state is also maintained. In other words, the properties of the object are preserved, along with their specified values.

Using components with known vulnerabilities

Known vulnerabilities are those that have been discovered in open source components and published in the NVD, security advisor, or issue tracker. As of the time of publication, a security hole can be exploited by hackers who find documentation related to them. According to OWASP, the problem of using vulnerable components is very common. Furthermore, the use of open source components is so widespread that many development leaders don’t even know what they’ve accomplished.

Inadequate logging and monitoring

When an organization does not have sufficient logging, detection, monitoring and response capabilities, attackers will rely on these weaknesses to achieve their goals undetected. The lack of these methods includes things like:

• Auditable events, such as logins, failed logins, and high value transactions are not logged.
• Warnings and errors produce incomplete or ambiguous log messages.
• Logs of unmonitored applications and APIs for suspicious activity.
• Logs are stored locally only.
• Appropriate alarm thresholds and out-of-place or ineffective feedback reporting procedures.
• Penetration testing and scanning with DAST tools did not trigger warnings.
• Applications cannot detect, report, or warn about active attacks in real time or near real time.

Above is a list of Top 10 OWASP Vulnerabilities in 2020.

In this article, we will explore the challenge OWASP Top 10 above TryHackMe. Through this challenge, you can also learn and exploit each of the top 10 OWASP vulnerabilities. Those are the 10 most important web security risks, read this paragraph to understand more.

Because this challenge is a bit too much, I will divide it into 3 parts for you to follow and also read to be less boring.

I will go straight to the practical part and skip the technical knowledge. If you want to learn the knowledge or how the vulnerability works, you can go to the room to read it. And note, the websites I visit in this article are Tryhackme’s virtual servers.

TryHackMe: OWASP Top 10 Challenge Part 1

Mission 5: [Mức độ nghiêm trọng 1] Command Injection

What is Active Command Injection?

Blind command injection (Blind command injection) occurs when a system command executed to the server does not return a response to the user in the HTML document. And ACI (Active command injection) will return the response to the user. It can be displayed through a number of HTML elements.

See the following script: EvilCorp started developing on the web platform but was accidentally exposed to the Internet. It’s incomplete but still contains a command injection vulnerability. But this time, the response from the system call can be seen on the web page.

Read the sample code from evilhell.php and see what it’s doing and why it’s getting ACI. I will leave the sample code below.

EvilShell (evilshell.php)

Program analysis:

1. Check if the parameter “commandString” has been declared.
2. If so, then the variable $command_string get what was passed into the input field.
3. The program then enters a try block to execute the function passthru($command_string). You can read the documentation for the passthru() function on the PHP website, but in general it will execute what is entered in the input field, then pass the output directly back to the browser.
4. If it fails, it will give an error. In general, it won’t output anything because you can’t output it stderr.

Ways to detect Active Command Injection

ACI occurs when you can see a response from a system call. In the above code, the function passthru() direct feedback to the document so you can see it. This command will help you easily view and analyze system errors.

Commands to try

Linux

• whoami
• id
• ifconfig/ip addr
• uname -a
• ps -ef

Windows

• whoami
• ver
• ipconfig
• tasklist
• nestat -an

To answer the questions below you need to navigate to http://10.10.147.50/evilshell.php.

#1 What strange text file is in the website root directory?

We can go to evilhell.php and try the whoami command.

Try next command uname -a.

Continue to try the command ls.

What do you see? I found the file drpepper.txt.

#2 How many non-root/non-service/non-daemon users are there?

You can try the command cat /etc/passwd

Couldn’t find anything.

#3 What user is this application running as?

We found it upstairs, but let’s rewrite the whoami command.

Answer: www-data

#4 User Shell?

We can find it with the command cat /etc/passwd.

Answer: usr/sbin/nologin

#5 What version of Ubuntu is running?

As the picture above, you just need to enter the command lsb_release -a to know the Ubuntu version the application is running.

Answer: 18.04.4

#6 Watch MOTD

Just do a little search on the internet and you will know the command to show MOTD. MOTD (Message Of The Day) is the message when you start an application in the terminal.

I put a space in front of the word darren.

I am logged in as a member. It’s successful!

We have found the flag.

Answer: fe86079416a21a3c99937fea8874b667

#2 Now try to do the same trick and see if you can login with arthur account.

#3 What’s the flag you found in Arthur’s account?

Answer: d9ac0f7db4fda460ac3edeb75d75e16e

Complete 2 common errors in OWASP 10, Broken Authentication and Command Injection.

The next part will still be exploiting other bugs in OWASP 10.

Ở phần 2 này, chúng ta sẽ tiếp tục khai thác các lỗ hổng khác trong OWASP Top 10 trên Tryhackme. Nếu bạn chưa biết OWASP là gì thì có thể đọc tại đây.

TryHackMe: Thử thách OWASP Top 10 [Phần 2]

Nhiệm vụ 11: [Mức độ nghiêm trọng 3] Rò rỉ dữ liệu nhạy cảm

Đã đến lúc áp dụng những gì bạn đã học được vào thực tế rồi.

# 1 Dev có để lại một ghi chú chỉ ra rằng có dữ liệu nhạy cảm trong một thư mục nào đó.

Tên của thư mục đó là gì?

Truy cập vào trang web và bạn sẽ thấy mục đăng nhập.

Vào trang đăng nhập.

Kiểm tra mã nguồn của web.

Các bạn có thấy cái mà mình đang thấy không :v.

Đáp án: /assets

# 2 Truy cập đến thư mục bạn đã tìm thấy. Và tìm file có khả năng chứa dữ liệu nhạy cảm

Truy cập vào thư mục assets.

Thành công rồi đó.

Đáp án: webapp.db

# 3 Khai thác file chứa dữ liệu nhạy cảm và tìm mã băm mật khẩu

Chúng ta có thể thấy rằng có một cơ sở dữ liệu SQlite trong thư mục hiện tại.

Để truy cập nó, mình sử dụng lệnh sqlite3 <database-name>

Từ đây, chúng ta có thể xem các bảng trong cơ sở dữ liệu bằng cách sử dụng lệnh .tables:

Mình có thể kết xuất tất cả dữ liệu ra khỏi bảng, nhưng mình sẽ không biết ý nghĩa của mỗi cột trừ khi xem thông tin bảng. Trước tiên, hãy sử dụng lệnh PRAGMA table_info(customers); để xem thông tin bảng, sau đó sử dụng lệnh SELECT * FROM customers; để kết xuất thông tin khỏi bảng:

Giờ chúng ta đã tìm ra được mã băm rồi đó.

Đáp án: 6eea9b7ef19179a06954edd0f6c05ceb

#4 Bẻ khóa mã băm

Để tìm ra mật khẩu dưới dạng văn bản thuần thì các bạn truy cập vào trang crackstation tại đây.

Crackstation hoạt động bằng cách sử dụng một danh sách từ điển lớn. Nếu mật khẩu không có trong danh sách từ thì Crackstation sẽ không thể bẻ khóa mã băm.

Nếu Crackstation không bẻ khóa được mã băm này, thì hàm băm đó đã được thiết kế đặc biệt để không thể bẻ khóa được.

Đáp án: qwertyuiop

#5 Đăng nhập với tư cách là admin và tìm flag

Sử dụng tài khoản và mật khẩu đã tìm được để đăng nhập vào tài khoản admin.

Đáp án: THM{Yzc2YjdkMjE5N2VjMzNhOTE3NjdiMjdl}

Nhiệm vụ 13: [Mức độ nghiêm trọng 4] XML External Entity

#1 XML là viết tắt của từ gì?

Đáp án : Extensible Markup Language.

#2 Có bắt buộc phải mở đầu XML trong các tài liệu XML không?

Đáp án : Không

#3 Chúng ta có thể xác thực các tài liệu XML dựa trên một lược đồ không?

Đáp án : Có

#4 Làm thế nào để chỉ định phiên bản XML và cách mã hóa trong tài liệu XML?

Đáp án : XML Prolog

Nhiệm vụ 14: [Mức độ nghiêm trọng 4] XML External Entity — DTD

Trước khi bắt đầu tìm hiểu về XXE, chúng ta sẽ phải hiểu DTD trong XML là gì.

Đầu tiên tìm hiêu cách DTD xác thực XML. Đây là ý nghĩa của tất cả các thuật ngữ được sử dụng trong note.dtd

!DOCTYPE note – Xác định phần tử gốc của tài liệu có tên note

!ELEMENT note – Xác định phần tử note phải chứa các thành phần: “to, from, heading, body”

!ELEMENT to – Xác định phần tử thuộc loại “#PCDATA”

!ELEMENT from – Xác định phần tử có kiểu “#PCDATA”

!ELEMENT heading – Xác định phần tử tiêu đề thuộc loại “#PCDATA”

!ELEMENT body – Xác định phần tử nội dung thuộc loại “#PCDATA”

LƯU Ý: #PCDATA có nghĩa là parseable character data (dữ liệu ký tự có thể phân tích cú pháp).

# 1 Làm thế nào để xác định một ROOT element?

Đáp án: !ELEMENT

# 2 Xác định ROOT element như thế nào?

Đáp án: !DOCTYPE

# 3 Xác định ENTITY mới như thế nào?

Đáp án: !ENTITY

Nhiệm vụ 15 [Mức độ nghiêm trọng 4] XML External Entity — XXE Payload

1) Payload đầu tiên mà chúng ta sẽ thấy rất đơn giản. Nếu bạn đã đọc những nhiệm vụ trước đó thì bạn sẽ payload này.

<!DOCTYPE replace [<!ENTITY name “feast”> ]>
<userInfo>
<firstName>falcon</firstName>
<lastName>&name;</lastName>
</userInfo>

Chúng ta đang xác định một ENTITY và gán cho nó giá trị feast. Tiếp, chúng ta sẽ sử dụng ENTITY đó trong code.

2) Chúng ta cũng có thể sử dụng XXE để đọc một số tệp từ hệ thống bằng cách xác định ENTITY và sử dụng từ khóa SYSTEM

<?xml version=”1.0"?>
<!DOCTYPE root [<!ENTITY read SYSTEM ‘file:////cat /etc/passwd>]>
<root>&read;</root>

Chúng ta xác định ENTITY với giá trị là `SYSTEM` và đường dẫn của tệp.

Nếu mình sử dụng payload này thì một trang web dễ bị tấn công bởi XXE (thông thường) sẽ hiển thị nội dung của tệp /etc/passwd.

Theo cách tương tự, chúng ta có thể sử dụng loại payload này để đọc các tệp khác.

Nhiệm vụ 16: [Mức độ nghiêm trọng 4] Đối tượng bên ngoài XML – Exploiting

#3 Tên của người dùng trong /etc/passwd là gì?

<?xml version="1.0"?>
<!DOCTYPE root [<!ENTITY read SYSTEM 'file:///etc/passwd'>]>
<root>&read;</root>

Đáp án: falcon

#4 Khóa SSH của falcon nằm ở đâu?

Tìm kiếm trên mạng xem khóa SSH được lưu ở đâu.

Đáp án: /home/falcon/.ssh/id_rsa

#5 18 ký tự đầu tiên trong private key của falcon là gì?

<?xml version=”1.0"?>
<!DOCTYPE root [<!ENTITY read SYSTEM ‘file:////home/falcon/.ssh/id_rsa>]>
<root>&read;</root>

Đáp án: MIIEogIBAAKCAQEA7b

Nhiệm vụ 18: [Mức độ nghiêm trọng 5] Broken Access Control (Thử thách IDOR)

IDOR, hoặc Insecure Direct Object Reference (tham chiếu đối tượng trực tiếp không an toàn), là hành động khai thác cấu hình sai trong cách xử lý đầu vào của người dùng, để truy cập vào các tài nguyên mà thông thường bạn không thể truy cập. IDOR là một loại lỗ hổng kiểm soát truy cập.

Ví dụ: giả sử chúng ta đang đăng nhập vào tài khoản ngân hàng của mình và sau khi tự xác thực chính xác, chúng ta sẽ được đưa đến một URL như sau https://example.com/bank?account_number=1234. Trên trang đó, mình có thể xem tất cả các chi tiết ngân hàng quan trọng của bả thân và người dùng sẽ làm bất cứ điều gì họ cần làm và suy nghĩ không có gì sai.

Tuy nhiên, có một vấn đề lớn tiềm ẩn ở đây, một tin tặc có thể thay đổi thông số account_number thành một số khác như 1235 và nếu trang web được định cấu hình không chính xác, thì hacker sẽ có quyền truy cập vào thông tin ngân hàng của người khác (như vụ metap).

#1 Đọc và hiểu cách IDOR hoạt động.

#2 Triển khai và truy cập http://10.10.220.97 – Đăng nhập với tên người dùng là noot và mật khẩu là test1234.

Mình đã thử tăng dần số sau note = 1 theo thứ tự, nhưng nó không xảy ra. Nhưng khi thử số 0 thì lại có kết quả.

Đáp án: flag{fivefourthree}

Nhiệm vụ 19: [Mức độ nghiêm trọng 6] Cấu hình sai bảo mật

Cấu hình sai bảo mật (Security Misconfiguration)

Cấu hình sai bảo mật khác với 10 lỗ hổng OWASP hàng đầu khác, bởi vì lỗi này chỉ xảy ra khi bạn cấu hình sai bảo mật hệ thống.

Cấu hình sai bảo mật bao gồm:

Các quyền được cấu hình kém trên các dịch vụ đám mây, chẳng hạn như nhóm S3 bật các tính năng không cần thiết, như dịch vụ, trang, tài khoản hoặc đặc quyền của tài khoản mặc định với mật khẩu không thay đổi, thông báo lỗi quá chi tiết và cho phép kẻ tấn công tìm hiểu thêm về hệ thống, không sử dụng HTTP security headers hoặc tiết lộ quá nhiều chi tiết trong Server: HTTP header.

Lỗ hổng này thường có thể dẫn đến nhiều lỗ hổng khác hơn, chẳng hạn như thông tin xác thực mặc định cho phép bạn truy cập vào dữ liệu nhạy cảm, XXE hoặc chèn lệnh trên các trang quản trị.

Máy ảo trong nhiệm vụ này tập trung vào mật khẩu mặc định. Đây là một ví dụ cụ thể về cấu hình sai bảo mật. Bạn nên thay đổi bất kỳ mật khẩu mặc định nào trong hệ thống.

Mật khẩu mặc định rất phổ biến trong các thiết bị nhúng và Internet of Things, và phần lớn các chủ sở hữu thiết bị không thay đổi các mật khẩu này.

Mức độ rủi ro về thông tin xác thực mặc định còn tùy theo quan điểm của kẻ tấn công. Chúng có thể truy cập vào trang quản trị, các dịch vụ được thiết kế cho quản trị viên hệ thống hoặc nhà sản xuất, hoặc thậm chí cơ sở hạ tầng mạng cũng có thể vô cùng hữu ích trong việc tấn công doanh nghiệp. Từ việc tiếp xúc dữ liệu đến RCE dễ dàng, ảnh hưởng của thông tin xác thực mặc định có thể rất nghiêm trọng.

Vào tháng 10 năm 2016, Dyn (một nhà cung cấp DNS) đã bị DDoS bởi một trong những cuộc tấn công DDoS đáng nhớ nhất trong 10 năm qua. Lưu lượng truy cập chủ yếu đến từ Internet of Things và các thiết bị mạng như bộ định tuyến và modem, bị nhiễm phần mềm độc hại Mirai.

Phần mềm độc hại đã xâm nhập vào hệ thống như thế nào? Bằng mật khẩu mặc định. Phần mềm độc hại có danh sách chứa 63 cặp username/password và tin tặc sẽ cố gắng đăng nhập vào các dịch vụ telnet bị lộ.

Các cuộc tấn công DDoS rất đáng chú ý vì nó đã khiến nhiều trang web và dịch vụ lớn bị gián đoạn. Amazon, Twitter, Netflix, GitHub, Xbox Live, PlayStation Network và nhiều dịch vụ khác đã offline trong vài giờ trong 3 đợt tấn công DDoS vào Dyn.

Ví dụ thực tế: Máy ảo này bị cấu hình sai bảo mật, như một lỗi của danh sách 10 lỗ hổng hàng đầu của OWASP.

Triển khai VM và xâm nhập bằng cách khai thác cấu hình sai bảo mật (Security Misconfiguration)!

#1 Triển khai VM (Máy ảo)

# 2 Xâm nhập vào ứng dụng web và tìm flag

Chúng ta có thể nghiên cứu username và mật khẩu mặc định là gì của pensive notes.

Xem mình tìm thấy gì nào.

Đáp án:

thm{4b9513968fd564a87b28aa1f9d672e17}

Nhiệm vụ 20: [Mức độ nghiêm trọng 7] Cross-site Scripting (XSS)

Giải thích XSS

Cross-site scripting, còn được gọi là XSS là một lỗ hổng bảo mật thường thấy trong các ứng dụng web. Đây là một kiểu tiêm code có thể cho phép kẻ tấn công thực thi các tập lệnh độc hại và khiến nó thực thi trên máy của nạn nhân.

Một ứng dụng web dễ bị tấn công bởi XSS nếu nó sử dụng đầu vào của người dùng mà chưa được lọc. XSS có thể sử dụng trong Javascript, VBScript, Flash và CSS. Có ba loại XSS web chính:

Stored XSS: Là loại XSS nguy hiểm nhất. Đây là nơi bắt nguồn một chuỗi mã độc từ cơ sở dữ liệu của trang web. Điều này thường xảy ra khi một trang web lấy đầu vào từ người dùng mà chưa được lọc (loại bỏ “các ký tự đặc biệt” của người dùng nhập) khi được chèn vào cơ sở dữ liệu.

Reflected XSS: Payload độc hại là một phần request của victims đối với trang web. Trang web bao gồm payload này để phản hồi lại người dùng. Tóm lại, kẻ tấn công cần lừa nạn nhân nhấp vào URL để thực thi payload độc hại.

DOM-Based XSS: DOM là viết tắt của Document Object Model và là một giao diện lập trình cho các tài liệu HTML và XML. Nó giúp các chương trình có thể thay đổi cấu trúc, kiểu và nội dung tài liệu. Trang web là một tài liệu và tài liệu này có thể được hiển thị trong cửa sổ trình duyệt hoặc dưới dạng mã nguồn HTML.

Để biết thêm các giải thích và bài tập XSS, hãy đọc bài viết này.

XSS Payloads

Hãy nhớ rằng, XSS là một lỗ hổng có thể bị lợi dụng để thực thi Javascript độc hại trên máy của nạn nhân. Một số loại payload phổ biến được sử dụng:

XSS-Payloads.com (http://www.xss-payloads.com/) là một trang web có payload, công cụ, tài liệu liên quan đến XSS nhiều thứ khác nữa. Bạn có thể tải các payload XSS chụp ảnh nhanh từ webcam hoặc thậm chí port scanner.

Các thử thách XSS

Máy ảo đi kèm với nhiệm vụ này dựa trên DOM, có Reflected và Stored XSS. Giờ hãy triển khai máy ảo và bắt đầu khai thác lỗ hổng XSS nào.

#1 Triển khai VM (Máy ảo)

#2 Truy cập http://10.10.193.134/reflected và tạo một payload reflected XSS để tạo cửa sổ popup “Hello“.

Viết Script:

<script>alert(“hello”)</script>

Đáp án: ThereIsMoreToXSSThanYouThink

#3 Trên cùng một trang reflective, tạo một payload XSS bật cửa sổ popup chứa địa chỉ IP của bạn.

<script>alert(window.location.hostname)</script>

Đáp án: ReflectiveXss4TheWin

#5 Trên cùng một trang, hãy tạo một cửa sổ popup chứa cookie của bạn.

<script>alert(document.cookie)</script>

Đáp án: W3LL_D0N3_LVL2

#6 Thay đổi “XSS Playground” thành “I am a hacker” bằng cách thêm bình luận và sử dụng Javascript.

<script>document.querySelector(‘#thm-title’).textContent = ‘I am a hacker’</script>

Đáp án: websites_can_be_easily_defaced_with_xss

Trong bài viết này chúng ta đã hoàn thành khai thác các lỗi như Sensitive Data Exposure (Rò rỉ dữ liệu nhạy cảm), XML External Entity, Broken Access Control, Security Misconfiguration (Cấu hình sai hệ thống) and Cross-site Scripting (XSS).

Continuing with part 2, in this article I will guide you to exploit OWASP vulnerabilities such as Insecure Deserialization, Components With Known Vulnerabilities, and Insufficient Logging & Monitoring in challenge OWASP Top 10.

TryHackMe: OWASP Top 10 Challenge [Phần 3]

Mission 21: [Mức độ nghiêm trọng 8] Insecure Deserialization

What applications are vulnerable?

Any application that stores or fetches data for which no authentication or integrity check is applied to the queried or stored data. Some examples of applications of this nature are:

• E-commerce website
• Forum
• API
• Runtimes applications (Tomcat, Jenkins, Jboss, …)

You can learn more about Insecure Deserialization here.

#1 Who developed the Tomcat application?

Answer: Apache Software Foundation

#2 What kind of attacks that crash services can be done with insecure decryption?

This definition is still quite broad. But can be understood like this, unsafe decryption is replacing the data processed by the application with malicious code; allows anything from DoS (Denial of Service) to RCE (Remote Malware Execution) that an attacker can use to gain a foothold in pentesting.

Answer: Denial of Service

Mission 22 [Mức độ nghiêm trọng 8] Unsecure Decryption – Object

#1 Choose the correct term of the following sentence:

if a dog was sleeping, would this be:

A) A State
B) A Behaviour

Answer: A Behaviour

Mission 23: [Mức độ nghiêm trọng 8] Insecure Deserialization — Deserialization

Suppose you have a password “password123” from a program that needs to be stored in a database on another system. To move across a network, this string/output needs to be converted to binary. Of course, the password needs to be stored as “password123” and not its binary string. When it reaches the database, it will be converted or deserialised back to “password123” to be stored.

#1 What is the name of the base 2 format in which data is sent over the network?

Answer: binary

Mission 24 [Mức độ nghiêm trọng 8] Insecure Deserialization — Cookies

#1 If the cookie has a path of webapp.com/login, what is the URL the user has to visit?

Answer: webapp.com/login

#2 What is the acronym for the web technology that Secure cookies work on?

Answer: Https

Mission 25: [Mức độ nghiêm trọng 8] Insecure Deserialization — Cookies Practical

I will log in to a website like the one below.

Create an account. No need to enter details, you can enter what you like.

Notice on the right, you have your details.

Right click on the page and hit “Inspect Element” then go to the “Storage” tab.

Check Encrypted Data

You will see here that there are both plaintext and base64 encoded cookies. The first flag will be found in one of these cookies.

Answer: THM{good_old_base64_huh}

Modify cookie value

Notice here that you have a cookie named “userType”. You are now a user, as confirmed by your information on the “myprofile” page.

This application defines what you can and cannot see by your userType. What if you want to be an administrator?

Double left click on the “Value” column of “userType” to modify the content. Let’s change our userType to “admin” and navigate to http://10.10.83.1/admin to get the second flag.

Answer: THM{heres_the_admin_flag}

Mission 26: [Mức độ nghiêm trọng 8] Insecure Deserialization — Code Execution

1. First, change the value of the userType cookie from “admin” to “user” and back to http://10.10.83.1/myprofile.

2. Then left click on the URL under “Exhange your vim” in the screenshot below.

3. Next left click on the URL under “Provide your feedback!” to a page like this:

#1 flag.txt

Change netcat ip.

Use command nano rce.py

Swap tryhackmyIP to the IP of that website.

Paste this into the “encodedPayload” cookie in your browser:

7. Make sure netcat is still running:

8. Refresh the page. It will hang, go back to netcat:

Answer: 4a69a7ff9fd68

Mission 29: [Mức độ nghiêm trọng 9] Components With Known Vulnerabilities — Lab

#1 How many characters are in /etc/passwd (using WC -c /etc/passwd for the answer)

Visit the website, as we see this is a normal book website.

Did a bit of research on vulnerabilities found in online bookstore sites and I found this.

Answer: 1611

Mission 30: [Mức độ nghiêm trọng 10] Insufficient Logging & Monitoring

We have to download the login-logs.txt file. Click download and save the file.

#1 What IP address is the attacker using?

We can use cat login-logs.txt and see all the frontends.

There is one person constantly accessing the system with different usernames.

Answer: 49.99.13.16

#2 What kind of attack is being performed?

HTTP 401 indicates that the request has not been applied because it lacks valid credentials for the target resource.

So I think it’s a brute force attack because we see that someone is repeatedly trying a password with a different username.

Answer: Brute Force

So this series is done. Are you looking forward to other series? In addition, you can also see more challenges on tryhackme here.

Website security is always a necessary issue before operating on the Internet. If you want to check if your Website has security holes, use OWASP ZAP – Zed Attack Proxy software to scan for errors.

OWASP ZAP – Zed Attack Proxy is an open source tool that allows you to test the robustness of your application against security vulnerabilities. But what exactly is OWASP ZAP?

In a nutshell, this is a vulnerability testing tool that helps programmers and security professionals discover website vulnerabilities. You can perform a variety of tasks through OWASP ZAP, including scanning web requests, using dictionary lists to find files and folders on the web server, and crawling websites to find all the files and folders on the web server. link and URL. In addition, you can intercept, view, modify, and forward web requests between the browser and the web application using OWASP ZAP.

OWASP ZAP scanning can reveal problems related to SQL injectionbroken authentication, exposed sensitive data, broken access control, security misconfiguration, Cross-Site Scripting (XSS)insecure decryption, components with known vulnerabilities, and any missing security headers.

In this article, we will see how OWASP ZAP works, how to set up ZAP, how to create our own crawlers to scan for vulnerabilities.

How does OWASP ZAP work?

OWASP ZAP is a proxy server that scans all traffic running through it. This proxy server includes automated tools that allow you to block security holes on your website and generate reports from its findings. Here’s a quick diagram of how ZAP works.

ZAP creates its attacks by running the ZAP browser on a URL. During this process, ZAP will use its crawlers to gather information about a target application, scan all available pages, and then run the active scanner on it. The active scanner will accurately identify any vulnerabilities using known attack methods on the targets it receives from the scan. Alerts will be issued if potential vulnerabilities are detected and flagged from high to low based on the level of risk.

Setting up ZAP – Zed Attack Proxy

Step 1: To set up OWASP ZAP, you need to install it first. You can access: zaproxy.org/download to select an installer that is compatible with your operating system.

Step 2: Once downloaded, run the installer.

Step 3: Read and accept the terms and conditions to continue.

Step 4: Select ‘Standard installation’ and click ‘Next’.

Step 5: Click ‘Install’ to finish.

Step 6: Wait a moment for the program to finish installing.

Step 7: Once done, you will be directed to a screen that looks something like this.

Create ZAP Spider

To run the first scan, run the newly installed OWASP ZAP. You will be greeted with a screen that looks like this:

Once the download is complete, you will get a screen that looks like the image below. In the main ‘Quick Start’ view, you can choose between ‘Automated Scan’ and ‘Manual Explore”. For this tutorial, select ‘Automated Scan’.

This option will give you a page like the image below. You can run it on your application by pointing the destination URL to the localhost your application is currently running on.

This is an example of when in the scan phase.

Once done, you can click on the ‘Alerts’ tab to see all the potential vulnerabilities.

Based on the example and scan results above, we can see that the issues detected are not serious and can be easily remedied, such as X-Frame-Options and Anti-CSRF Tokens.

The impact of a vulnerability can be assessed by the number of specific alerts. For example, cross-domain JavaScript source file inclusion seems to be a bug of some sort. However, if we dig deeper, we find that the risk is classified as low because of the reliable source.

Here’s a screenshot of one of the flagged warnings and reports generated for the cross-domain JavaScript source file inclusion error. Right below is a solution on how to reduce this vulnerability based on this bug.

Conversely, if we want to start vulnerability testing based on severity, OWASP ZAP will automatically rank from highest to lowest in the ‘Alerts’ file list. The top warning on the list is ‘Vulnerable JS Library’. The report is marked as medium risk because the jQuery used is not the latest version.

A little more digging into jquery-2.1.4 tells us that this target site is vulnerable to Cross-site Scripting (XSS) attacks via elements from untrusted sources. This is because in the JQuery version, DOM manipulation methods can execute untrusted code.

Conclusion

The Quick Scan function of OWASP ZAP – Zed Attack Proxy will not “hack” your Web. However, it will give you an overview of the security issues and vulnerabilities your website is facing.

Using OWASP ZAP during the programming phase can also help us improve our security processes by identifying problems before they grow too large over time. It is easier to fix a potential vulnerability when it is small than when it is large and affects the entire developed application.

One thing to keep in mind is that if you run OWASP ZAP on a more mature application with lots of legacy code, you may get a large number of warnings. This is normal, especially if security is not part of the growth mindset at first. As long as you prioritize your vulnerabilities and find ways to address them, it will increase the security of your application.

In addition to running the function Quick Scan manually every time, you can also automate it into your workflow via Docker Packaged Scans, GitHub Actions or automation frameworks.