Оценка уязвимостей DVWA с помощью OWASP ZAP

Практическая оценка безопасности веб-приложения DVWA (Damn Vulnerable Web App), выполненная с использованием OWASP ZAP (Zed Attack Proxy) 2.17.0. В этом проекте задокументирован полный рабочий процесс: разведка (spidering), автоматическое сканирование уязвимостей и анализ поднятых оповещений, включая находку Remote Code Execution (CVE-2012-1823).

⚠️ Отказ от ответственности: Данная оценка проводилась в изолированной лабораторной среде на DVWA — приложении, намеренно созданном уязвимым для учебных целей. Никогда не сканируйте и не атакуйте системы, которые вам не принадлежат или на тестирование которых у вас нет явного письменного разрешения.

Содержание

• Цель
• Используемые инструменты
• Целевая среда
• Методология
• Сводка результатов
• Ключевая находка: Remote Code Execution (CVE-2012-1823)
• Скриншоты
• Рекомендации по устранению
• Структура репозитория
• Как воспроизвести

Цель

Выявить и задокументировать типичные уязвимости веб-приложений в DVWA с помощью возможностей обхода (spidering) и активного сканирования OWASP ZAP, а также научиться читать, интерпретировать и составлять отчёты по результатам автоматического сканирования безопасности.

Используемые инструменты

Целевая среда

• Целевой URL: http://192.168.109.115/dvwa/index.php
• Приложение: DVWA v1.0.7
• Уровень безопасности (настройка DVWA): High
• Логин: admin

Методология

1. Разведка / Spidering — Традиционный спайдер ZAP просканировал приложение DVWA, обнаруживая доступные страницы, формы и конечные точки до отправки каких-либо атак.
2. Автоматическое (активное) сканирование — Функция Automated Scan ZAP была нацелена на базовый URL DVWA и запущена, объединяя традиционный спайдер с активным сканированием, которое отправляет специально сформированные запросы для проверки уязвимостей.
3. Проверка оповещений — После завершения сканирования на 100% все поднятые оповещения были индивидуально проверены на вкладке Alerts, отсортированы по уровню риска (High/Medium/Low/Informational), а находки с самым высоким риском были детально исследованы.

Сводка результатов

Активное сканирование завершилось с 1,157 отправленными запросами и 72 новыми оповещениями, которые ZAP сгруппировал в 17 различных типов оповещений:

Полная информация по каждому оповещению находится в docs/findings.md.

Ключевая находка: Remote Code Execution (CVE-2012-1823)

Наиболее серьёзной проблемой, выявленной в ходе сканирования, стала уязвимость Remote Code Execution высокого риска, отслеживаемая как CVE-2012-1823 (известная ошибка анализа строки запроса PHP-CGI).

• URL: http://192.168.109.115/dvwa/login.php?-d+allow_url_include%3d1+-d+auto_prepend_file%3dphp://input
• Риск: Высокий  |  Уверенность: Средняя
• CWE ID: 20 (Improper Input Validation)  |  WASC ID: 20
• Корневая причина: Некоторые конфигурации PHP-CGI некорректно обрабатывают строки запроса, в которых отсутствует незаэкранированный символ =. Это позволяет злоумышленнику передавать интерпретатору PHP флаги в стиле командной строки (-d allow_url_include=1 -d auto_prepend_file=php://input), обеспечивая выполнение произвольного PHP-кода и раскрытие исходного кода.
• Воздействие: Злоумышленник может выполнить произвольный код на сервере или выгрузить PHP-файлы, которые никогда не должны быть видны конечным пользователям.
• Решение: Обновитесь до исправленной версии PHP или, если используется Apache, используйте mod_rewrite с директивами RewriteCond/RewriteRule, чтобы блокировать неправильно сформированные строки запроса до того, как они достигнут PHP-CGI.

Скриншоты

Рекомендации по устранению

1. Обновить PHP/стек до версии, не подверженной CVE-2012-1823.
2. Внедрить CSRF-токены во все формы, изменяющие состояние.
3. Установить заголовок Content-Security-Policy для снижения воздействия XSS/внедрения данных.
4. Отключить просмотр директорий на веб-сервере.
5. Добавить заголовки защиты от clickjacking (X-Frame-Options / frame-ancestors).
6. Установить атрибуты HttpOnly и SameSite для всех файлов cookie, чтобы снизить риск перехвата сессии и CSRF.
7. Удалить или ограничить доступ к скрытым/неиспользуемым файлам, обнаруженным во время обхода.

Структура репозитория

dvwa-zap-pentest/
├── README.md                  # Этот файл — обзор проекта и сводка
├── docs/
│   └── findings.md            # Полный детальный отчёт по каждому оповещению
├── screenshots/                # Пронумерованные скриншоты, упомянутые выше
└── LICENSE

Как воспроизвести

1. Разверните DVWA в изолированной лаборатории (например, через XAMPP или Docker) — ни в коем случае не выставляйте его в интернет.
2. Установите уровень безопасности DVWA и войдите как admin.
3. Установите OWASP ZAP и откройте его.
4. Перейдите в Quick Start → Automated Scan, введите URL DVWA и нажмите Attack.
5. Когда сканирование достигнет 100%, просмотрите вкладку Alerts для получения результатов, а также вкладку History для полного журнала запросов/ответов.

Этот проект создан в образовательных целях как часть учебного упражнения по безопасности веб-приложений.