Kali Linuxの色々なツールを利用するには、脆弱性のあるWebサイトが無いとつまらない、ということもあり、ubuntu上にWordPressを立てることにした。
なお、下記URLを参考に処理した。
（参）Ubuntu 20.04 LTS に WordPress 5.8 をインストール（Qiita）
apacheをインストール
| apt -y update apt -y install apache2 systemctl enable apache2 |
PHPのインストール
| apt -y install php7.4 php7.4-mysql |
MariaDBのインストール
| apt -y install mariadb-server mariadb-client
systemctl enable mariadb |
WordPressをダウンロードしてからインストール
| cd /var/www/html wget https://ja.wordpress.org/latest-ja.tar.gztar xvf latest-ja.tar.gzchown -R www-data:www-data . |
DBの作成
| $ sudo mariadb
CREATE DATABASE wordpress DEFAULT CHARACTER SET utf8; GRANT ALL ON wordpress.* TO wordpress@localhost IDENTIFIED BY ‘password’; FLUSH PRIVILEGES; |
ブラウザで、http://localhost/wordpress/ にアクセス。
WordPressが表示されるので、左下にある「さぁ、始めましょう」をクリックして作業を進める。
テスト用なので適当に。
Kali Linuxからホスト名で作業できるよう、/var/hosts に追記。一応、pingで疎通確認。
open http://hogeubu/wordpress/ で、今作成したwordpressを開く。
いい感じにKali Linuxからwordpressが開いた！
あとはワードプレスの設定側になるんだけど、hostnameからアクセスできるようにするには、設定を1箇所を弄るだけ。
あとは、しばらくアップデートされていないプラグインでも追加すればいいのかな？
さて、準備は揃った。
脆弱性診断のniktoを利用してみよう。
OSVDB番号が表示されてますね！
OSVDB-3092で検索すると、前に年度が必要ということでHitしなかった。
https://www.cve.org/
ググっていくと、
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3092
が該当。Cross Site ScriptingやSQL Injectionとかのバグがあるようだ。
そうすると、Webアプリケーション診断でスキップしたsqlmapコマンドが興味津々。
sqlmap -u https://〜というコマンドになる模様。
今回の場合は、特に見つからなかった模様。
もうちょっと調査が必要な場合には、レベルやリスクオプションでさらなる調査してよ、という結果だった。
| [16:19:49] [CRITICAL] all tested parameters do not appear to be injectable. Try to increase values for ‘–level’/’–risk’ options if you wish to perform more tests. If you suspect that there is some kind of protection mechanism involved (e.g. WAF) maybe you could try to use option ‘–tamper’ (e.g. ‘–tamper=space2comment’) and/or switch ‘–random-agent’ |
1 thought on “Kali Linuxで遊ぶ〜標的サイトを作る〜ubuntuにwordpressのインストール”
Comments are closed.