Avaliação de Vulnerabilidades do DVWA usando OWASP ZAP

Uma avaliação prática de segurança de aplicações web do DVWA (Damn Vulnerable Web App), realizada usando o OWASP ZAP (Zed Attack Proxy) 2.17.0. Este projeto documenta o fluxo de trabalho completo: reconhecimento (spidering), varredura automatizada de vulnerabilidades e análise dos alertas gerados — incluindo uma ocorrência de Execução Remota de Código (CVE-2012-1823).

⚠️ Aviso: Esta avaliação foi realizada em um ambiente de laboratório isolado contra o DVWA, uma aplicação intencionalmente construída para ser vulnerável para fins de treinamento. Nunca faça varreduras ou ataques a sistemas que você não possui ou para os quais não tenha permissão explícita por escrito para testar.

Sumário

• Objetivo
• Ferramentas Utilizadas
• Ambiente Alvo
• Metodologia
• Resumo das Descobertas
• Descoberta Principal: Execução Remota de Código (CVE-2012-1823)
• Capturas de Tela
• Recomendações de Remediação
• Estrutura do Repositório
• Como Reproduzir

Objetivo

Identificar e documentar vulnerabilidades comuns em aplicações web no DVWA usando os recursos de spidering e varredura ativa do OWASP ZAP, e praticar a leitura, interpretação e elaboração de relatórios sobre resultados de varreduras automatizadas de segurança.

Ferramentas Utilizadas

Ambiente Alvo

• URL Alvo: http://192.168.109.115/dvwa/index.php
• Aplicação: DVWA v1.0.7
• Nível de Segurança (configuração do DVWA): High
• Login: admin

Metodologia

1. Reconhecimento / Spidering — O spider tradicional do ZAP rastreou a aplicação DVWA para descobrir páginas, formulários e endpoints acessíveis antes de qualquer ataque ser enviado.
2. Varredura Automatizada (Ativa) — O recurso de Varredura Automatizada do ZAP foi apontado para a URL base do DVWA e iniciado, combinando o spider tradicional com uma varredura ativa que envia requisições forjadas para testar vulnerabilidades.
3. Revisão de Alertas — Quando a varredura atingiu 100%, todos os alertas gerados foram revisados individualmente na aba Alerts, ordenados por risco (Alto/Médio/Baixo/Informativo), e as descobertas de maior risco foram investigadas em detalhes.

Resumo das Descobertas

A varredura ativa foi concluída com 1.157 requisições enviadas e 72 novos alertas gerados, que o ZAP agrupou em 17 tipos distintos de alertas:

O detalhamento completo de cada alerta está em docs/findings.md.

Descoberta Principal: Execução Remota de Código (CVE-2012-1823)

O problema mais grave identificado foi uma vulnerabilidade de Execução Remota de Código de alto risco, rastreada sob o CVE-2012-1823 (uma falha conhecida no parsing de query strings do PHP-CGI).

• URL: http://192.168.109.115/dvwa/login.php?-d+allow_url_include%3d1+-d+auto_prepend_file%3dphp://input
• Risco: Alto  |  Confiança: Médio
• CWE ID: 20 (Validação de Entrada Incorreta)  |  WASC ID: 20
• Causa raiz: Certas configurações do PHP-CGI não conseguem processar corretamente query strings que não contenham um caractere = não escapado. Isso permite que um atacante passe flags no formato de linha de comando (-d allow_url_include=1 -d auto_prepend_file=php://input) para o interpretador PHP, possibilitando a execução arbitrária de código PHP e a divulgação de código-fonte.
• Impacto: Um atacante pode executar código arbitrário no servidor ou despejar arquivos de código-fonte PHP que nunca deveriam ser visíveis para usuários finais.
• Solução: Atualize para uma versão corrigida do PHP ou, se estiver usando Apache, utilize mod_rewrite com diretivas RewriteCond/RewriteRule para bloquear query strings malformadas antes que cheguem ao PHP-CGI.

Capturas de Tela

Recomendações de Remediação

1. Corrija o PHP / atualize a pilha para uma versão não afetada pelo CVE-2012-1823.
2. Implemente tokens CSRF em todos os formulários que alteram estado.
3. Defina um cabeçalho Content-Security-Policy para reduzir o impacto de XSS/injeção de dados.
4. Desative a listagem de diretórios no servidor web.
5. Adicione cabeçalhos anti-clickjacking (X-Frame-Options / frame-ancestors).
6. Defina os atributos HttpOnly e SameSite em todos os cookies para reduzir o risco de sequestro de sessão e CSRF.
7. Remova ou restrinja o acesso a arquivos ocultos/não utilizados descobertos durante o rastreamento.

Estrutura do Repositório

dvwa-zap-pentest/
├── README.md                  # This file — project overview & summary
├── docs/
│   └── findings.md            # Full detailed write-up of each alert
├── screenshots/                # Numbered screenshots referenced above
└── LICENSE

Como Reproduzir

1. Configure o DVWA em um laboratório isolado (por exemplo, via XAMPP ou Docker) — nunca o exponha à internet.
2. Defina o nível de segurança do DVWA e faça login como admin.
3. Instale o OWASP ZAP e abra-o.
4. Vá para Quick Start → Automated Scan, insira a URL do DVWA e clique em Attack.
5. Quando a varredura atingir 100%, revise a aba Alerts para ver as descobertas e verifique History para o log completo de requisições/respostas.

Este projeto foi criado para fins educacionais como parte de um exercício de aprendizado em segurança de aplicações web.