Hackazon安装指南
Hackazon可以在Rapid7的GitHub页面上找到。它可以从https://github.com/rapid7/hackazon.用户可以通过点击右下角的“download ZIP”按钮下载源代码。
先决条件
Hackazon是一个PHP web应用程序。它需要PHP框架、Apache服务器和MySQL作为数据库。这些资料可透过以下网页查阅:
- PHP开发框架:http://php.net/downloads.php
- Apache服务器:https://httpd.apache.org/download.cgi
- MySQL数据库:https://www.mysql.com/downloads/
Windows用户可以下载WAMP服务器,其中包括PHP框架、Apache服务器和MySQL数据库。这些资料可透过以下网页查阅:
WAMP服务器和Windows机器的Hackazon设置
1:将“Hackazon_master.zip”解压到C: \ \ hackazon \回家
- 按照安装向导中的步骤安装WAMP服务器。
- 阅读并接受协议。
- 选择安装WAMP服务器的位置。
- 选择安装期间要完成的任何附加任务。
- 选择安装。
- 选择是否安装新的WampServer2主页。
- 选择Finish完成安装。
- 打开应用程序;点击WAMP服务器的系统托盘。导航到“Apache”>>“Apache modules”。检查
rewrite_module
- 修改文件C:\wamp\bin\apache\apache2.4.9\conf\httpd.conf如下。
- DocumentRoot从
“c: /里面/ www /”来“c: / home / hackazon / web /” - <目录
“c: / home / hackazon / web / " >来<目录" c: /里面/ www / / " >
- 重命名“C: home\hackazon\assets\config\db.sample.php”到“C: home\hackazon\assets\config\db.php”
- 从系统托盘打开mysql控制台。当mysql控制台要求输入密码时,点击“Enter”。现在,在mysql控制台输入以下命令。
创建数据库hackazon;GRANT ALL ON hackazon。* TO hackazon@'localhost' IDENTIFIED BY 'password';
- 在WAMP服务器上,选择“重启所有服务”。
- 在浏览器中,转到
http://localhost/.申请密码并点击“下一步”按钮 - 按Enter键作为您的密码,然后再次选择Next。
- 输入数据库设置,然后选择Next。
- 输入电子邮件设置,然后选择下一步。
- 最后,检查参数并选择Install。
Hackazon应用程序现在能够执行漏洞评估。
Linux (Ubuntu)机器的Hackazon设置
- 打开终端(Ctrl + Alt + T),执行如下命令安装Apache服务器。
安装apache2 - 执行如下命令安装MySQL数据库服务器:
安装mysql-server - 运行如下命令安装PHP框架:
Sudo apt-get安装php5 libapache2-mod-php5 - 使用以下命令重新启动apache服务器:
sudo /etc/init.d /输入重启 - 复制Hackazon源文件
/var/www/hackazon - 修改/var/www/hackazon/目录为可写权限,使用如下命令:
sudo chmod -R a+rwX /var/www/hackazon/assets/config/ . conf . confsudo chmod -R a+rwX /var/www/hackazon/web/upload/ - 创建一个
hackazon.lc.conf站点配置文件/etc/apache2/sites-available /与以下内容:
文本
1
< VirtualHost *: 80 >
2
服务器webmaster@localhost
3.
ServerName hackazon.lc
4
5
DocumentRoot /var/www/hackazon/web
6
<目录/ >
7
8
FollowSymLinks选项
9
AllowOverride所有
10
< /目录>
11
/var/www/hackazon/web/ <目录>
12
Options Indexes FollowSymLinks MultiViews
13
AllowOverride所有
14
为了允许,拒绝
15
允许从所有
16
< /目录>
17
< /虚拟主机>
- 启用新创建的站点“hackazon.lc.conf”,使用如下命令:
sudo a2ensite hackazon.lc.conf - 使用以下命令启用Apache " rewrite "模块:
sudo a2enmod重写 - 使用以下命令安装pdo_mysql驱动程序:
Sudo apt-get安装php5-gd php5-mysql
- 使用如下命令重新启动Apache服务器:
Sudo服务apache2重启 - 使用如下命令打开mysql数据库:
Mysql -u root -p - 创建hackazon数据库使用以下命令:
创建数据库hackazon;GRANT ALL ON hackazon。* TO hackazon@'localhost' IDENTIFIED BY 'password'; - 使用如下命令重新启动mysql服务器:
sudo /etc/init.d / mysql重启 - 在你的网络浏览器中打开URL“http://localhost/”。按照步骤8 - 12来设置Hackazon应用程序。
默认配置
为了增强用户体验,该工具附带了一些预先配置的数据。这包括一个登录帐户。
Hackazon有一个默认帐户。这允许首次用户登录应用程序。用户可以在设置应用程序时配置Admin帐户的登录凭据。
用户名:test_user密码:123456
应用程序的特点
Hackazon的目的是设计一个类似于真实世界购物应用程序的应用程序。
- 浏览和搜索产品:该应用程序允许用户在整个应用程序中浏览不同的产品。用户还可以使用搜索栏搜索产品。
- 创建购物车:用户可以浏览应用程序并将产品添加到购物车中进行购买。
- 下订单:该应用程序允许用户购买选定的商品并下订单,用户可以在其中插入他们的送货地址、优惠券代码和支付方法。
- 查看订单:该应用程序允许用户检查以前的订单。
- 编辑个人资料:用户可以编辑自己的个人信息,如姓名、地址、电子邮件等。
- 修改密码:应用程序允许用户修改与用户名关联的密码。
- 创建和编辑愿望列表:该应用程序允许用户创建多个愿望列表。用户也可以编辑愿望列表。
- 我的文档和帮助文章:用户可以在任何查询的情况下查看文档和帮助文章。
- 帮助台:该应用程序允许用户在帮助台论坛上提问。
- 联系我们:该应用程序允许用户联系公司的代表。
管理员界面
- Dashboard:显示应用中存在的漏洞,包括URL、字段、漏洞和详细信息。
- 用户:应用程序允许用户添加、编辑和更新用户。
- 角色:应用程序允许用户添加、编辑和更新用户角色。
- 产品详细信息:应用程序允许用户自定义产品类别,产品详细信息,产品选项,订单,优惠券,查询和常见问题。
- 漏洞配置:Hackazon有这个独特和创新的功能,允许用户添加,编辑或更新漏洞,如图所示
示例应用程序
这里是一个关于如何在hackazon应用程序中创建漏洞的例子。Hackazon应用程序有RESTful API,用户可以在其中查看产品。步骤如下:
- 导航到“脆弱配置”,并从下拉列表中选择“休息”。选中“编辑”选项。
- 点击“Add Child”按钮。应用程序生成一个空的子框。
- 如所示添加SQL注入漏洞
- 点击提交按钮。现在,REST API中产品页面的“Page”参数很容易受到SQL注入的影响。
这个页面对你有帮助吗?