OWASP Broken Web Applications

OWASPが脆弱性があるアプリケーションをインストールしたVMイメージをリリースしてるのを今更知った。

https://code.google.com/p/owaspbwa/

自分で作ったテスト用VMよりもいいかもしれないから試してみよう。

Fiddler、ZAPでhttps通信で証明書エラーを出さなくする（ブラウザルート証明書の登録）

【ルート証明書の出力】

・Fiddler

1.「Fiddler Options」を開く
2.「Decrypt HTTPS traffic」にチェック。
3.「Export Fiddler Root Certificate to Desktop」をクリック。
4.デスクトップに証明書ファイル（FiddlerRoot.cer）が出力。

・Zap

1.「Options-ダイナミックSSL証明書」を開く
2.「ルートCA証明書-生成」で証明書作成
3.「保存」するで「owasp_zap_root_ca.cer」が出力できる。

【ルート証明書の取り込み】

・IE(Chrome)

1.インターネットオプションを開く
2.「コンテンツ-証明書」を開く
3.信頼されたルート証明書機関タブを開く
4.「インポート」でFiddlerRoot.cerとowasp_zap_root_ca.cerを取り込む　

【Firefox】

1.「ツール-オプション」を開く
2.「詳細－証明書－証明書を表示」を開く
3.「認証局証明書－インポート」で」でFiddlerRoot.cerとowasp_zap_root_ca.cerを取り込む

Ubuntu12.04LTSにmutillidaeVersion: 2.5.11のセットアップ

Ubuntu12.04LTSにmutillidaeVersion: 2.5.11のセットアップ

1.下記のURLからVersion: 2.5.11のファイルをダウンロード
http://www.irongeek.com/i.php?page=mutillidae/mutillidae-deliberately-vulnerable-php-owasp-top-10

2.ダウンロードしたファイルを解凍してmutillidaeディレクトリを/var/www/にコピー

3.mutillidae用のユーザをmysqlに作成

GRANT ALL on nowasp.* to mutillidae@localhost identified by "mutillidae";

4./var/www/mutillidae/classes/MySQLHandler.phpのDB接続設定を行う

/* ----------------------------------------------
* DATABASE HOST
* ----------------------------------------------
* This is the host/server which has the database.
* If using XAMPP, this is almost certainly localhost.
* 127.0.0.1 might work.
* */
static public $mMySQLDatabaseHost = "localhost";

/* ----------------------------------------------
* DATABASE USER NAME
* ----------------------------------------------
* This is the user name of the account on the database
* which OWASP Mutillidae II will use to connect. If this is set
* incorrectly, OWASP Mutillidae II is not going to be able to connect
* to the database.
* */
static public $mMySQLDatabaseUsername = "mutillidae";　←変更

/* ----------------------------------------------
* DATABASE PASSWORD
* ----------------------------------------------
* This is the password of the account on the database
* which OWASP Mutillidae II will use to connect. If this is set
* incorrectly, OWASP Mutillidae II is not going to be able to connect
* to the database. On XAMPP, the password for user
* account root is typically blank.
* On Samurai, the $dbpass password is "samurai" rather
* than blank.
* */
static public $mMySQLDatabasePassword = "mutillidae";　←変更

　※/include/config.incにも似たような設定があるけど変更しても意味ないです。
　
5.http://localhost/mutillidaeに接続

6.ページ下にこんな感じのエラーが表示されるので「Click here to reset DB」をクリック

Error attempting to write to log table: /opt/mutillidae/classes/MySQLHandler.php on line 165: Error executing query:

connect_errno: 0
errno: 1046
error: No database selected
client_info: 5.5.29
host_info: Localhost via UNIX socket

7.確認ダイアログで「OK」

これでセットアップ完了です。