web-threat-mitigation

Laboratório prático sobre detecção e mitigação de ameaças a aplicações web usando OWASP ZAP, Burp Suite e ModSecurity WAF (com OWASP CRS). Estudo de caso: Spring4Shell (CVE-2022-22965). Configuração baseada em Docker local.

1. Implantação do WebGoat no CentOS usando Docker, exposto na porta 8080.

2. Varredura Inicial a partir do Kali Linux usando OWASP ZAP:
   • Alertas de alto risco: SQL Injection, Spring4Shell
   • Médio: CSP ausente, Tokens CSRF, Manipulação de Parâmetros
   • Info: Vazamento de versão, possível XSS, problemas de sessão

3. Implantação do Proxy Reverso no Debian 12 usando nginx.

4. Configuração do WAF com OWASP CRS e regras carregadas de:
   root@kitploit:~

   /etc/nginx/coreruleset-4.9.0/crs-setup.conf
   /etc/nginx/coreruleset-4.9.0/rules/*.conf
   

   As regras foram testadas e ativadas verificando os logs do ModSecurity.

5. Varredura Pós-WAF usando OWASP ZAP mostrou:
   • Alertas reduzidos (respostas bloqueadas ou mascaradas)
   • Confirmação da proteção do WAF em vigor

6. Teste de Exploração usando Metasploit contra Spring4Shell:
   • Sem WAF: RCE bem-sucedida (payload de shell reverso)
   • Com WAF: Exploração bloqueada devido à detecção do CRS

Conclusão

O laboratório mostra a importância de uma segurança em camadas:

• Uma aplicação vulnerável pode ser facilmente exposta sem proteção
• ZAP/Burp ajudam a identificar e categorizar vulnerabilidades
• ModSecurity e OWASP CRS reduzem efetivamente a superfície de ataque
• WAFs podem bloquear CVEs do mundo real como Spring4Shell com ajustes adequados

Autor

Bruno Paolo Huamán Vela (Lima, Peru) Estudante de Cibersegurança – Ural Federal University (UrFU)