web-threat-mitigation

OWASP ZAP, Burp Suite, और ModSecurity WAF (OWASP CRS के साथ) का उपयोग करके वेब ऐप खतरों का पता लगाने और उन्हें कम करने पर व्यावहारिक प्रयोगशाला। केस स्टडी: Spring4Shell (CVE-2022-22965)। स्थानीय Docker-आधारित सेटअप।

1. WebGoat तैनाती CentOS पर Docker का उपयोग करके, पोर्ट 8080 पर उजागर।

2. प्रारंभिक स्कैनिंग Kali Linux से OWASP ZAP का उपयोग करके:
   • उच्च-जोखिम अलर्ट: SQL Injection, Spring4Shell
   • मध्यम: अनुपस्थित CSP, CSRF टोकन, पैरामीटर टैम्परिंग
   • जानकारी: वर्जन लीक, संभावित XSS, सत्र समस्याएँ

3. रिवर्स प्रॉक्सी तैनाती Debian 12 पर nginx का उपयोग करके।

4. WAF सेटअप OWASP CRS के साथ और नियम निम्न से लोड किए गए:
   root@kitploit:~

   /etc/nginx/coreruleset-4.9.0/crs-setup.conf
   /etc/nginx/coreruleset-4.9.0/rules/*.conf
   

   नियमों का परीक्षण किया गया और ModSecurity लॉग की जाँच करके सक्षम किया गया।

5. पोस्ट-WAF स्कैनिंग OWASP ZAP का उपयोग करके दिखाया गया:
   • कम अलर्ट (अवरुद्ध या मास्क की गई प्रतिक्रियाएँ)
   • WAF सुरक्षा के स्थान पर पुष्टि

6. एक्सप्लॉइट परीक्षण Spring4Shell के विरुद्ध Metasploit का उपयोग करके:
   • WAF के बिना: RCE सफल (रिवर्स शेल पेलोड)
   • WAF के साथ: CRS डिटेक्शन के कारण एक्सप्लॉइट अवरुद्ध

निष्कर्ष

यह लैब स्तरीय सुरक्षा के महत्व को दर्शाता है:

• एक कमजोर ऐप बिना सुरक्षा के आसानी से उजागर हो सकता है
• ZAP/Burp भेद्यताओं की पहचान और वर्गीकरण में मदद करते हैं
• ModSecurity और OWASP CRS प्रभावी रूप से हमले की सतह को कम करते हैं
• WAFs उचित ट्यूनिंग के साथ Spring4Shell जैसे वास्तविक दुनिया के CVEs को ब्लॉक कर सकते हैं

लेखक

Bruno Paolo Huamán Vela (Lima, Peru) साइबर सुरक्षा छात्र – Ural Federal University (UrFU)