DVWAサーバ構築(2)

前回はDVWAのインストールまでを行いましたが、今回はその続きの設定編です。

DVWAの所有者の変更

wordpressの所有者は、 “www-data:www-data” となっています。（所有者名：www-data、所有グループ名：www-data）

➡️ これは過去投稿wordpress導入編でwordpress導入時に設定しました。

DVWAもこれに合わせます。

sudo chown -R www-data:www-data /var/www/html/DVWA

“ls -ld /var/www/html/DVWA” コマンドで、所有者変更を確認します。

DVWAの設定ファイル準備

ひな形ファイル “config.inc.php.dist” から、本設定ファイル “config.inc.php” をコピー作成します。

cd /var/www/html/DVWA
sudo cp config/config.inc.php.dist config/config.inc.php

“ls -l config/” コマンドで作成を確認します。

MariaDBの設定

DB作成

mariadbのDVWA用データベースを作ります。

まずmariadb起動し、

sudo mariadb

mariadbにおいて、DVWAのデータベースを新作します。

CREATE DATABASE dvwa;

専用ユーザの作成

次にmariadbのDVWA専用ユーザを作成します。（下例では仮に、ユーザ名’dvwa’@’localhost’ 、パスワードは ‘Dvwauser’ としています。）

CREATE USER ‘ユーザ名’ IDENTIFIED BY ‘パスワード’

DVWAユーザに、権限の授与を行います。

GRANT ALL PRIVILEGES ON dvwa.* TO ‘ユーザ名’

権限を確認します。（パスワードはハッシュ化済みのものが表示されます）

SHOW GRANTS FOR ‘dvwa’@’localhost’;

“exit” コマンドで、MariaDBから出ます。

DB作成状況の確認

ターミナルから下記コマンドでmariaDBを確認します。

sudo mariadb -e “SHOW DATABASE”

“dvwa” と “wordpress” の両者が確認出来ます。

接続確認

下記コマンドで接続確認を行います。

ユーザ名はdvwa(-u dvwa)、ホストは127.0.0.1(-h 127.0.0.1)、接続DBはdvwa。

パスワードは先ほど決めたものを入力します。

mariadb -u dvwa -p -h 127.0.0.1 dvwa

プロンプトが、”MariaDB [dvwa]>” となっており、ユーザ名dvwaとして接続に成功しています。

SHOW DATABASE

上記コマンドで、自分が権限を持つdvwaデータベースが表示されています。

DVWA設定ファイルの変更

dvwa設定ファイルを変更します。

バックアップファイルの作成

まずは変更前のファイル(config.inc.php)をバックアップ(config.inc.php.bak)として保存しておきます。

sudo cp /var/www/html/DVWA/config/config.inc.php /var/www/html/DVWA/config/config.inc.php.bak

設定ファイルの変更

テキストエディタ “nano” を使ってファイルを開いたところです。

sudo nano /var/www/html/DVWA/config/config.inc.php

内容を下記のように修正します。（パスワードは一例です）

“Ctl + O” ➡️ “Ctl + X” でターミナルに戻ります。

ターミナル側から、下記コマンドで確認します。

grep -E "db_server|db_database|db_user|db_port" /var/www/html/DVWA/config/config.inc.php

apacheにDVWAを追加

apacheの設定ファイルにエイリアスを書き込んで、DVWAに分岐出来るようにします。

apache設定のバックアップ

まず、設定ファイル(wordpress.conf)のバックアップ(wordpress.conf.bak)を取ります。

sudo cp /etc/apache2/sites-enabled/wordpress.conf /etc/apache2/sites-enabled/wordpress.conf.bak

apache2のwordpress設定ファイル変更

設定ファイルを開いて下記追加変更します。

sudo nano /etc/apache2/sites-enabled/wordpress.conf

変更前

変更後

“Ctl + O” ➡️ “Ctl + X” でターミナルに戻ります。

apache設定の検査

文字の打ち間違い（文法間違い）をチェックします。

sudo apachectl configtest

“Syntax OK” となっています。（＝文法OK）

設定の反映

sudo systemctl reload apache2

“systemctl status apache2 –no-pager” でapacheの稼働を確認します。

接続試験

サーバ自身（ラズパイ4B）からcurlでDVWAのwebサイトへアクセスします。

curl -I http://192.168.11.21/DVWA/setup.php

“HTTP1.1 200 OK” となっていますので正常に接続出来ています。

他のマシン（ラズパイ5）からのDVWAのwebサイトへcurlでアクセスします。

curl -I http://192.168.11.21/DVWA/setup.php

“HTTP1.1 200 OK” となっていますので正常に接続出来ています。

他のマシン（ラズパイ5）からのブラウザ(Firefox)を使って、”http://192.168.11.21/DVWA/”　にアクセスした結果です。

DVWAのセットアップページが正常に表示されています。

まとめ

DVWAサーバのインストール後から設定までの報告でした。

次回はDVWAサーバに少しチョッカイを出してみます。

参考までに脆弱サーバには下記のような種類があるようです。

• DVWA
• OWASP Juice Shop
• bWAPP
• WebGoat

---

<PR>