Hackazon安装指南

Hackazon可以在Rapid7的GitHub页面上找到。它可以从https://github.com/rapid7/hackazon.用户可以通过点击右下角的“download ZIP”按钮下载源代码。

先决条件

Hackazon是一个PHP web应用程序。它需要PHP框架、Apache服务器和MySQL作为数据库。这些资料可透过以下网页查阅:

Windows用户可以下载WAMP服务器,其中包括PHP框架、Apache服务器和MySQL数据库。这些资料可透过以下网页查阅:

WAMP服务器和Windows机器的Hackazon设置

1:将“Hackazon_master.zip”解压到C: \ \ hackazon \回家

  1. 按照安装向导中的步骤安装WAMP服务器。
  2. 阅读并接受协议。
  3. 选择安装WAMP服务器的位置。
  4. 选择安装期间要完成的任何附加任务。
  5. 选择安装。
  6. 选择是否安装新的WampServer2主页。
  1. 选择Finish完成安装。
  2. 打开应用程序;点击WAMP服务器的系统托盘。导航到“Apache”>>“Apache modules”。检查rewrite_module
  1. 修改文件C:\wamp\bin\apache\apache2.4.9\conf\httpd.conf如下。
  • DocumentRoot从“c: /里面/ www /”“c: / home / hackazon / web /”
  • <目录“c: / home / hackazon / web / " ><目录" c: /里面/ www / / " >
  1. 重命名“C: home\hackazon\assets\config\db.sample.php”到“C: home\hackazon\assets\config\db.php”
  1. 从系统托盘打开mysql控制台。当mysql控制台要求输入密码时,点击“Enter”。现在,在mysql控制台输入以下命令。

创建数据库hackazon;GRANT ALL ON hackazon。* TO hackazon@'localhost' IDENTIFIED BY 'password';

  1. 在WAMP服务器上,选择“重启所有服务”。
  1. 在浏览器中,转到http://localhost/.申请密码并点击“下一步”按钮
  2. 按Enter键作为您的密码,然后再次选择Next。
  3. 输入数据库设置,然后选择Next。
  1. 输入电子邮件设置,然后选择下一步。
  2. 最后,检查参数并选择Install。

Hackazon应用程序现在能够执行漏洞评估。

Linux (Ubuntu)机器的Hackazon设置

  1. 打开终端(Ctrl + Alt + T),执行如下命令安装Apache服务器。安装apache2
  2. 执行如下命令安装MySQL数据库服务器:安装mysql-server
  3. 运行如下命令安装PHP框架:Sudo apt-get安装php5 libapache2-mod-php5
  4. 使用以下命令重新启动apache服务器:sudo /etc/init.d /输入重启
  5. 复制Hackazon源文件/var/www/hackazon
  6. 修改/var/www/hackazon/目录为可写权限,使用如下命令:sudo chmod -R a+rwX /var/www/hackazon/assets/config/ . conf . confsudo chmod -R a+rwX /var/www/hackazon/web/upload/
  7. 创建一个hackazon.lc.conf站点配置文件/etc/apache2/sites-available /与以下内容:
          
文本
1
< VirtualHost *: 80 >
2
服务器webmaster@localhost
3.
ServerName hackazon.lc
4
5
DocumentRoot /var/www/hackazon/web
6
<目录/ >
7
8
FollowSymLinks选项
9
AllowOverride所有
10
< /目录>
11
/var/www/hackazon/web/ <目录>
12
Options Indexes FollowSymLinks MultiViews
13
AllowOverride所有
14
为了允许,拒绝
15
允许从所有
16
< /目录>
17
< /虚拟主机>
  1. 启用新创建的站点“hackazon.lc.conf”,使用如下命令:sudo a2ensite hackazon.lc.conf
  2. 使用以下命令启用Apache " rewrite "模块:sudo a2enmod重写
  3. 使用以下命令安装pdo_mysql驱动程序:Sudo apt-get安装php5-gd php5-mysql
  1. 使用如下命令重新启动Apache服务器:Sudo服务apache2重启
  2. 使用如下命令打开mysql数据库:Mysql -u root -p
  3. 创建hackazon数据库使用以下命令:创建数据库hackazon;GRANT ALL ON hackazon。* TO hackazon@'localhost' IDENTIFIED BY 'password';
  4. 使用如下命令重新启动mysql服务器:sudo /etc/init.d / mysql重启
  5. 在你的网络浏览器中打开URL“http://localhost/”。按照步骤8 - 12来设置Hackazon应用程序。

默认配置

为了增强用户体验,该工具附带了一些预先配置的数据。这包括一个登录帐户。

Hackazon有一个默认帐户。这允许首次用户登录应用程序。用户可以在设置应用程序时配置Admin帐户的登录凭据。

用户名:test_user密码:123456

应用程序的特点

Hackazon的目的是设计一个类似于真实世界购物应用程序的应用程序。

  • 浏览和搜索产品:该应用程序允许用户在整个应用程序中浏览不同的产品。用户还可以使用搜索栏搜索产品。
  • 创建购物车:用户可以浏览应用程序并将产品添加到购物车中进行购买。
  • 下订单:该应用程序允许用户购买选定的商品并下订单,用户可以在其中插入他们的送货地址、优惠券代码和支付方法。
  • 查看订单:该应用程序允许用户检查以前的订单。
  • 编辑个人资料:用户可以编辑自己的个人信息,如姓名、地址、电子邮件等。
  • 修改密码:应用程序允许用户修改与用户名关联的密码。
  • 创建和编辑愿望列表:该应用程序允许用户创建多个愿望列表。用户也可以编辑愿望列表。
  • 我的文档和帮助文章:用户可以在任何查询的情况下查看文档和帮助文章。
  • 帮助台:该应用程序允许用户在帮助台论坛上提问。
  • 联系我们:该应用程序允许用户联系公司的代表。

管理员界面

  • Dashboard:显示应用中存在的漏洞,包括URL、字段、漏洞和详细信息。
  • 用户:应用程序允许用户添加、编辑和更新用户。
  • 角色:应用程序允许用户添加、编辑和更新用户角色。
  • 产品详细信息:应用程序允许用户自定义产品类别,产品详细信息,产品选项,订单,优惠券,查询和常见问题。
  • 漏洞配置:Hackazon有这个独特和创新的功能,允许用户添加,编辑或更新漏洞,如图所示

示例应用程序

这里是一个关于如何在hackazon应用程序中创建漏洞的例子。Hackazon应用程序有RESTful API,用户可以在其中查看产品。步骤如下:

  1. 导航到“脆弱配置”,并从下拉列表中选择“休息”。选中“编辑”选项。
  2. 点击“Add Child”按钮。应用程序生成一个空的子框。
  1. 如所示添加SQL注入漏洞
  1. 点击提交按钮。现在,REST API中产品页面的“Page”参数很容易受到SQL注入的影响。