Kali Linux Web渗透测试手册(第二版) - 1.1 - 渗透测试环境搭建_渗透性测试实施手册

一．配置KALI Linux和渗透测试环境

在这一章，我们将覆盖以下内容，红色部分是本小节内容，其他内容在1.2节发布：

• 在Windows和Linux上安装VirtualBox

• 创建一个Kali Linux虚拟机

• 更新和升级Kali Linux

• 为渗透测试配置web浏览器

• 创建一个属于自己的靶机

• 为正确的通信配置虚拟机

• 了解易受攻击的虚拟机上的web应用程序

 

介绍

在第一章中，我们将介绍如何准备我们的Kali Linux安装，以便能够遵循书中所有的方法，并使用虚拟机建立一个具有脆弱web应用程序的实验室。

 

 

1.1、在Windows和Linux上安装VirtualBox

虚拟化可能是建立测试实验室或试验不同操作系统时最方便的工具，因为它允许我们在自己的内部运行多个虚拟计算机，而不需要任何额外的硬件。

在本书中，我们将使用VirtualBox作为虚拟化平台来创建我们的测试目标以及我们的Kali Linux攻击机器。

在第一个“秘籍”中，我们将向您展示如何在Windows和任何基于debian的GNU/Linux操作系统(例如Ubuntu)上安装VirtualBox。

 

TIP:读者没有必要同时安装这两个操作系统。这个配方显示这两种选择都是为了完成后续一些操作。

 

 

准备

如果我们使用Linux作为基础操作系统，在安装任何东西之前，我们需要更新我们的软件存储库的信息。打开终端并输入以下命令:

    |# sudo apt-getupdate

 

怎么做…

安装VirtualBox需要执行以下步骤:

1. 要在任何基于debian的Linux VirtualBox中安装VirtualBox，只需打开终端，输入以下命令:

|#   sudo apt-get install virtualbox

2. 安装完成后，我们将通过导航到“Applications | Accessories | VirtualBox”在菜单中找到VirtualBox。或者，我们可以从终端调用它：

|#      virtualbox

Tip：如果您使用Windows计算机作为基本系统，请跳至第3步。

3. 在Windows中，我们需要从下面的网站，下载VirtualBox安装程序

https://www.virtualbox.org/wiki/Downloads

4. 下载文件后，我们打开它并启动安装过程。

5. 在第一个对话框中，单击“下一步”并按照安装过程进行操作。

6. 我们可能会被问到从Oracle公司安装网络适配器的问题;为了使虚拟机中的网络正常工作，我们需要安装这些设备:

7. 安装完成后，我们只需从菜单中打开VirtualBox：

8. 现在我们已经运行了VirtualBox，我们准备建立虚拟机来建立我们自己的测试环境。

 

它是如何工作的…

VirtualBox将允许我们通过虚拟化在计算机中运行多台机器。有了这个，我们就可以在不同的计算机上安装一个完整的实验室，使用不同的操作系统，并在主机的内存资源和处理能力允许的范围内并行地运行它们。

 

更多…

VirtualBox扩展包为VirtualBox的虚拟机提供了额外的特性，比如USB 2.0/3.0支持和远程桌面功能。可以从https://www.virtualbox.org/wiki/Downloads下载。下载后，只需双击它，VirtualBox将完成其余的工作。

 

另请参阅

还有其他一些虚拟化选项。如果你不喜欢使用VirtualBox，你可以尝试以下方法:

• VMwarePlayer/Workstation

• QEMU

• Xen

• Kernel-based Virtual Machine(KVM)

 

 

1.2、创建一个Kali Linux虚拟机

Kali是一个GNU/Linux发行版，由攻击安全构建，主要关注安全性和渗透测试。它附带了许多预先安装的工具，包括安全专业人员用于逆向工程、渗透测试和取证分析的最流行的开源工具。

我们将在本书中使用KaliLinux作为攻击平台，我们将从头创建一个虚拟机，并在此“秘籍”中安装Kali Linux。

 

准备

KaliLinux可以从它的官方下载页面https://www.kali.org/downloads/.html获得，对于这个食谱，我们将使用64位系统 (页面上的第一个选项)。

 

怎么做……

在VirtualBox中创建虚拟机的过程非常简单，让我们看看这个并执行以下步骤:

1. 要在VirtualBox中创建新的虚拟机，可以使用主菜单、Machine | New或单击new按钮。

2. 弹出新对话框;这里，我们为虚拟机选择一个名称、类型和操作系统的版本:

3. 接下来，我们将询问这个虚拟机的内存大小。Kali Linux至少需要1Gb;我们将为虚拟机设置2Gb，这个值取决于你的系统可分配的资源。

4. 我们单击Next进入硬盘设置，选择“现在创建虚拟硬盘”，然后点击创建，在主机文件系统中创建新的虚拟磁盘文件:

 

5. 在下一个屏幕上，选择以下选项:

l  动态分配(Dynamically allocated):这意味着当我们在虚拟系统中添加或编辑文件时，这个虚拟机的磁盘映像的大小将会增加(实际上，它将添加新的虚拟磁盘文件)。

l  对于硬盘文件类型，选择VDI (VirtualBox磁盘映像)并单击Next。

l  接下来，我们需要选择文件存储在主机文件系统中的位置和它们的最大容量;这是虚拟操作系统的存储容量。我们保留默认位置，选择35.36 GB大小。这取决于你的基础机器的资源，但是为了安装必需的工具，至少应该是20GB。现在，点击创建:

6. 创建虚拟机之后，选择它并单击Settings，然后转到Storage并选择Controller: IDE下的CD图标。在属性面板中，单击CD图标，选择“虚拟光盘文件”，浏览从官方页面下载的Kali图像。然后单击OK:

7. 我们已经创建了一个虚拟机，但是我们仍然需要安装操作系统。启动虚拟机，它将使用我们配置为虚拟CD/DVD的Kali映像启动。使用箭头选择图形安装和按回车:

8. 我们正在开始安装过程。在下一个页，选择系统的语言、键盘分布、主机名和域。

9. 之后，您将被要求输入root密码;在基于unix的系统中，root是最高管理员账户，在Kali中，它是默认的登录帐户。设置密码，确认，点击继续:

10. 接下来，我们需要选择时区，然后配置硬盘;我们将使用引导设置使用整个磁盘:

11. 选择您想在其上安装系统的磁盘(只能有一个)。

12. 下一步是选择分区选项，我们选择将所有文件放在同一个分区中。

13. 接下来，我们需要通过选择“结束分区设定并将修改写入磁盘”，然后单击继续。然后选择Yes写入更改并在下一个屏幕上继续。这将启动安装过程:

14.安装完成后，安装程序将要求您配置包管理器。回答“是”可以使用网络镜像并设置代理配置，如果不使用代理连接internet，请将其留空。

15.最后一步是配置GRUB引导:只需回答Yes，然后在下一个屏幕上从列表中选择硬盘。然后，单击Continue，安装将完成。

16.单击安装完成窗口中的Continue以重新启动VM。

17.当VM重新启动时，它将请求用户名;键入root并按下回车键。然后输入你为root用户登录设置的密码。现在我们已经安装了Kali Linux。

 

它是如何工作的…

在这个“秘籍”中，我们在虚拟机中创建了我们的第一虚拟机，设置了我们的操作系统所共享的内存预留量，并为VM创建了一个新的虚拟硬盘文件，以使用和设置最大容量。我们还将VM配置为从CD/DVD映像开始，然后以在物理计算机上安装Kali Linux的方式安装它。

为了安装KaliLinux,我们使用了图形安装程序并选择引导磁盘分区,这是当我们安装一个操作系统,特别是基于unix的一个,我们需要定义系统的哪部分(或安装),安装硬盘的分区;幸运的是，Kali Linux的安装可以解决这个问题，我们只需要选择硬盘并确认建议的分区。我们还将Kali配置为使用包管理器的网络存储库。这将允许我们安装和更新软件从互联网和保持我们的系统最新。

 

更多…

在虚拟机中运行KaliLinux有不同的方法。例如，可以从攻击安全站点下载预先构建的虚拟机映像:

https://www.offensi-security.com/kali-linux-vm-vmware-virtualbox-hyperv-image-download/

我们选择这种方法是因为它涉及创建虚拟机和从头安装Kali Linux的完整过程。

 

1.3、更新和升级Kali Linux

在开始测试web应用程序的安全性之前，我们需要确保拥有所有必需的最新工具。这个方法涵盖了维护最新的Kali Linux工具及其最新版本的基本任务。我们还将安装web应用程序测试包。

  

怎么做……

一旦完成Kali Linux的工作实例后运行并执行以下步骤:

1.  以Kali Linux上的root用户登录并打开一个终端。

2.  运行apt-get更新命令。这将下载可用于安装的更新包(应用程序和工具)列表:

 

3.  更新完成后，运行apt-get full upgrade命令将系统更新到最新版本:

4.  当被要求继续时，按Y，然后按回车。

5.  现在，我们有了最新的Kali Linux，可以继续使用了。

6.  尽管Kali附带了一套很好的预先安装的工具，但是它的软件存储库中还包括一些其他的工具，但默认情况下是不安装的。为了确保我们拥有web应用程序渗透测试所需的一切，我们通过输入apt-get instal lkali-linux-web命令来安装kali-linux-web测试包:

7.  我们可以找到我们在应用菜单上安装的工具，03 – Web Application Analysis：

 

它是如何工作的…

在这个“秘籍”中，我们介绍了在基于debian的系统(如KaliLinux)中使用标准软件管理器apt进行包更新的基本过程。由于Kali Linux现在是一个滚动发行版，这意味着它会不断更新，并且在一个版本和下一个版本之间没有中断;完整的升级参数下载和安装系统(如内核和内核模块)和非系统包，直到它们的最新版本。如果没有进行重大更改，或者我们只是试图保持已安装版本的最新，我们可以使用升级参数。

在本教程的最后一部分中，我们安装了kli -linux-web元包。apt的元包是一个可安装的包，包含许多其他包，所以我们只需要安装一个包，所有包含的包都将被安装。在本例中，我们安装了Kali Linux中包含的所有web渗透测试工具。