Webセキュリティの小部屋

脆弱性診断練習用の Web アプリケーションとして有名だった「BadStore.net」がメンテナンス終了になっているということを知り非常に残念に思っていたのですが、Twitter で @msakamoto_sf さんから、Burp Suite の拡張機能として再開発がされているとのことを教えていただきました。

その名も「箱庭BadStore」です。GitHub にて GPL v2 ライセンスで Burp Suite の拡張機能として公開されています。

なんでも、本家 BadStore.net が Perl で書かれていたものを、Burp Suite の拡張機能にするために Java で全面書き換えを行っているとのこと。すごいですね！

では、早速使ってみましょう！

まず、箱庭BadStore のページに行き「HakoniwaBadstore.jar」をダウンロードします。

Burp Suite を起動して「Extender」タブを開いて「Add」をクリックします。

「Extension Details」の「Select file …」をクリックしてダウンロードした「HakoniwaBadstore.jar」を選択します。その後、「Next」をクリックします。

インストールが済んだら「Close」をクリックして画面を閉じます。

Burp Suite に「BadStore」タブが追加されていたら、インストール成功です。

箱庭BadStore を起動するには、「BadStore」タブでポート番号を指定して「Stopped」になっているトグルボタンを「Running」の状態にします。

この状態で、ブラウザで「http://127.0.0.1:8528」にアクセスして、以下のように BadStore.net の画面が表示されればOK です。

せっかくなので、なにか攻撃してみましょう。

画面左のメニューの「Sign Our Guestbook」をクリックして、以下のようにクロスサイトスクリプティングの攻撃を仕掛けてみます。

「Add Entry」をクリックして画面が切り替わると…

見事に JavaScript が動作しました！

Burp Suite の拡張機能として動作しているので、Burp Suite を駆使して攻撃をしかけてみてください。

なお、データベースの初期化は以下のアドレスから行うことができます(xxxxはポート番号)。

http://127.0.0.1:xxxx/cgi-bin/initdbs.cgi

興味深いのは「OWASP ZAP」でも操作が可能なところでしょうか。

BadStore.net の箱庭BadStoreへの移植はすばらしいと思います。

箱庭BadStore の今後の活動も期待しています！

カテゴリー:ブログ