Centos6.5中搭建WEB渗透环境DVWA渗透测试环境

Centos6.5中搭建WEB渗透环境DVWA渗透测试环境

1. 搭建前的准备

1.1 修改系统网卡配置，保证外网联通性

搭建DAWA渗透测试环境应该搭建在虚拟机中，所以应该事先先在VMware-Station中安装一个Centos虚拟机。这里我选择Centos6.5，安装完成后更改网卡配置，使得虚拟机能够连接外网。如图1.1-1，图1.1-2所示：

图1.1-1 编辑网卡配置

图1.1-2 测试外网连通性

1.2 更换系统镜像源为国内aliyun镜像源

1.2.1 备份镜像源配置文件

命令：

mv /etc/yum.repos.d/CentOS-Base.repo /etc/yum.repos.d/CentOS-Base.repo_bak

1.2.2 下载新的CentOS-Base.repo到/etc/yum.repos.d/

注意系统版本是CentOS6.5

命令：

wget -O /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-6.repo

1.2.3 清除缓存再次生成缓存

清除缓存：yum clean all

生成缓存：yum makecache

1.3 安装LANMP环境

1.3.1 LANMP

LANMP是Linux下Apache、Nginx、MySQL 和PHP应用环境。

这里使用WDLinux的一款集成安装包，操作起来相对简单方便一些。

1.3.2 下载安装包

命令：wget http://dl.wdlinux.cn/files/lanmp_v3.tar.gz

如图1.3.2-1所示：

图1.3.2-1

1.3.3 解压和安装

解压命令：tar zxvf lanmp_v3.tar.gz

如图1.3.3-1所示：

图1.3.3-1

启动安装脚本进行安装：sh lanmp.sh，安装完成效果如图1.3.3-2所示：

图1.3.3-2

在浏览器输入：主机ip:8080，登录管理系统修改默认的账号admin和密码wdlinux.cn，防止被恶意登录，如图1.3.3-3：

图1.3.3-3

修改密码如图1.3.3-4所示：

用户名修改为admin, 密码修改为adminbsm。

修改Mysql root用户名默认密码：

mysql用户名root的默认密码是wdlinux.cn，修改后为：

mysql用户名/密码：root/rootbsm

图1.3.3-4

1.4 搭建DVWA漏洞环境

1.4.1 DVWA简介

DVWA是一款开源的渗透测试漏洞练习平台，平台包括了XSS, SQL注入， 文件上传，文件包含，CSRF和暴力破解等各个难度的测试环境。

1.4.2 DVWA下载

下载地址：https://github.com/ethicalhack3r/dvwa

使用命令下载：wget https://github.com/ethicalhack3r/DVWA/archive/master.zip ，如图1.4.2-1所示：

图1.4.2-1

解压：解压命令unzip master.zip, 解压后如图1.4.2-2所示：

1.4.3 安装DVWA

A) 先进入WD控制台 MYSQL管理—>phpMyAdmin中创建一个属于

DVWA的数据库，如图1.4.3-1，图1.4.3.-2所示：

图1.4.3-1

图1.4.3.-2

B) 将之前解压出的 DVWA-master 文件夹放入 /www/web/default/ （ LANMP 默认的网站目录），cp -a /root/DVWA-master/ /www/web/default/ ，然后再cd /www/web/default， mv DVWA-master/ DVWA重命名DVWA-maste为DVWA, 然后 cd / /www/web/default/DVWA/config， 进入目录下，使用命令复制数据库配置文件cp config.inc.php.dist config.inc.php， 对配置文件做如下修改，修改数据库名，用户名，密码，如图1.4.3-3所示：

图1.4.3-3

C) 在浏览器中输入：http://192.168.98.160/DVWA/ ，在页面中输入默认用户名：admin, 输入默认密码：password。 如图1.4.3-4所示：

图1.4.3-4

D) 点击Login，进入数据库设置页面，完成数据库设置。如图1.4.3-5所示：

图1.4.3-5

检查配置后，点击下方的Create/Reset Databse ，数据库表等数据配置成功，如图 1.4.3-6所示：

图1.4.3-6

E）点击login，进入登录页面，DVWA的默认密码/用户名是：admin/password。登录后就可以看到DVWA的可以攻击演练的各种环境。至此CentO S上的漏洞渗透测环境已经搭建完成。可以演练的环境包括sql注入，爆破，命令注入等各种环境。如图1.4.3-7，图1.4.3-8所示：

图1.4.3-7

图1.4.3-8