[Introduction] Damn Vulnerable Web App - DVWA

Kali ini kita akan mencoba hal baru. Sebelumnya kita telah mempelajari OS Vulnerable by Design. Dimana pentester diuji keahliannya untuk meretas OS ini. Percobaan kali ini kita akan menguji keahlian kita dalam meretas Web Application.

Web application yang akan kita uji kali ini adalah DVWA atau Damn Vulnerable Web App. DVWA adalah aplikasi web berbasis PHP/MySQL. Tujuan utamanya adalah mengasah kemampuan penetration tester untuk menguji kemampuannya dan membantu web developer dalam menyadari betapa pentingnya keamanan web. 

Mengingat DVWA memiliki vulnerability (kelemahan) sangat disarankan kepada pembaca UNTUK TIDAK mengunggah file ini ke web hosting anda. Jadi saya rekomendasikan kepada pembaca untuk menguji Web App ini di virtual mesin anda.

Kali ini saya akan menguji DVWA di VMware saya. Dan saya menggunakan BT5 R2 dalam pengujian. Untuk mengikuti tutorial ini anda disarankan untuk memiliki:

1. VMware (can be downloaded here) [323 Mb - ILLEGAL] ;D

2. Windows XP SP2 32 Bit on your VMware

3. BT 5 R2 (can be downloaded here)

4. DVWA (can be downloaded here)

5. XAMPP (can be downloaded here)

DVWA Installation:

1. Install XAMPP pada Windows anda. Pastikan folder XAMPP terletak di direktori C

2. Extract DVWA-1.0.7.zip.

3. Copy folder dvfa ke folder C:/xampp/htdocs

4. Jalankan service MySQL dan Apache dengan cara; buka direktory C:/xampp. Jalankan file xampp-control. Kemudian klik tombol start pada opsi Apache dan MySQL.

5. Cek service dengan Mozilla Firefox dengan menuju URL http://localhost/dvwa. Jika tampil error database, hiraukan dulu. Yang terpenting adalah DVWA telah dapat diakses melalui browser.

6. Pengaturan DVWA. Masukan URL http://localhost/dvwa/setup.php. Kemudian klik tombol Create / Reset Database.

Jika sukses maka akan muncul gambar seperti di bawah

Kemudian kembali lagi ke URL http://localhost/dvwa. Jika sukses, maka index akan berubah menjadi

Note:

Username: admin

Password : password

Mengingat SQL Injeksi tidak dapat dieksekusi pada PHP versi 5.2.6. Maka kita perlu mengecek versi PHP yang kita gunakan. Pada direktori C:/xampp/htdocs, buat file baru bernama info.php. Kemudian masukan kode PHP ini. 

Code :

<?php
phpinfo()
?>

Simpan. Kemudian akses ke URL http://localhost/info.php. Maka akan terlihat versi PHP yang kita gunakan.

Karena kita TIDAK menggunakan PHP versi 5.2.6. Maka kita tidak perlu mengatur DVWA lebih lanjut. Sampai di sini dulu pengenalan DVWA, selanjutnya kita akan menguji kelemahan DVWA dalam XSS dan SQLi.