Webセキュリティの小部屋

Twitter のフォローはこちらから Facebook ページはこちら Google+ページはこちら RSSフィードのご登録はこちらから
公開日:2018年8月10日

脆弱性診断練習の定番「BadStore.net」がBurp Suiteの拡張として帰ってきた

脆弱性診断練習用の Web アプリケーションとして有名だった「BadStore.net」がメンテナンス終了になっているということを知り非常に残念に思っていたのですが、Twitter で @msakamoto_sf さんから、Burp Suite の拡張機能として再開発がされているとのことを教えていただきました。

その名も「箱庭BadStore」です。GitHub にて GPL v2 ライセンスで Burp Suite の拡張機能として公開されています。

なんでも、本家 BadStore.net が Perl で書かれていたものを、Burp Suite の拡張機能にするために Java で全面書き換えを行っているとのこと。すごいですね!

では、早速使ってみましょう!

まず、箱庭BadStore のページに行き「HakoniwaBadstore.jar」をダウンロードします。

Burp Suite を起動して「Extender」タブを開いて「Add」をクリックします。

pic01

「Extension Details」の「Select file …」をクリックしてダウンロードした「HakoniwaBadstore.jar」を選択します。その後、「Next」をクリックします。

pic02

インストールが済んだら「Close」をクリックして画面を閉じます。

pic03

Burp Suite に「BadStore」タブが追加されていたら、インストール成功です。

箱庭BadStore を起動するには、「BadStore」タブでポート番号を指定して「Stopped」になっているトグルボタンを「Running」の状態にします。

pic04

この状態で、ブラウザで「http://127.0.0.1:8528」にアクセスして、以下のように BadStore.net の画面が表示されればOK です。

pic05

せっかくなので、なにか攻撃してみましょう。

画面左のメニューの「Sign Our Guestbook」をクリックして、以下のようにクロスサイトスクリプティングの攻撃を仕掛けてみます。

pic06

「Add Entry」をクリックして画面が切り替わると…

pic07

見事に JavaScript が動作しました!

Burp Suite の拡張機能として動作しているので、Burp Suite を駆使して攻撃をしかけてみてください。

 

なお、データベースの初期化は以下のアドレスから行うことができます(xxxxはポート番号)。

http://127.0.0.1:xxxx/cgi-bin/initdbs.cgi

 

興味深いのは「OWASP ZAP」でも操作が可能なところでしょうか。

pic08

 

BadStore.net の箱庭BadStoreへの移植はすばらしいと思います。

箱庭BadStore の今後の活動も期待しています!


スポンサーリンク




カテゴリー:ブログ

Twitter でも、いろんな情報を発信しています。



コメントを残す

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

CAPTCHA