Kiểm tra chức năng của ModSecurity của Nginx trên

Ubuntu
Mô hình WAF Lab:

Tiến hành demo Top 10 OWASP (Cross Site Scripting):

Demo 1: Reflected XSS:
-Đây là loại XSS phổ biến nhất và được sử dụng để tấn công người dùng
qua các liên kết hoặc biểu mẫu trên trang web. Khi người dùng nhấp vào
liên kết đó, dữ liệu đầu vào của họ được chèn vào URL và truyền đến máy
chủ web. Nếu máy chủ không xử lý dữ liệu đầu vào đúng cách, mã độc
XSS sẽ được chèn vào trang web và thực thi trên trình duyệt của người
dùng.

-Truy cập đến WebServer thông qua IP outside của WAF

-Chọn Website DVWA

- Nhập admin và password để đăng nhập

-Chọn DVWA Security để thiết lập Security Level
-Thiết lập Security Level sang low

Chọn XSS reflected để kiểm thử lỗ hổng XSS

Nhập các thông tin khác như sau:
What’s your name: <script>alert("Hello")</script>
→ Nhấn nút Submit
Nếu không có ModSecurity:

-Như ta thấy Hacker đã thành công khi chèn được 1 đoạn mã JavaScript vào
Website và trả về kết quả alert “Hello”
-Tùy vào mức độ hiểu biết JavaScript mà Hacker có thể khai thác nhiều hay ít
Website.
Nếu có ModSecurity:

-Ta thấy ModSecurity đã phát hiện và chặn được thành công 1 cuộc tấn công XSS.
-Kiểm tra log #cat /var/log/modsec_audit.log trong máy WAF
Demo 2: Stored XSS

Đây là loại XSS mà kẻ tấn công chèn mã độc vào một trang web và lưu trữ
nó trên máy chủ web. Khi người dùng truy cập vào trang đó, mã độc XSS
sẽ được thực thi và có thể gây ra những hậu quả đáng ngại.
Chọn XSS stored để kiểm thử lỗ hổng XSS

Nhập Name: test và các thông tin khác như sau:
Message: <script>alert("Hello")</script>
→ Nhấn nút Sign Guestbook

Nếu không có ModSecurity:

-Như ta thấy Hacker đã thành công khi chèn được 1 đoạn mã JavaScript vào
Website và trả về kết quả alert “Hello”
-Khác với Reflected XSS, cuộc tấn công Stored XSS đã chèn thẳng đoạn mã vào hệ
thống, nếu ta bật sang tab bất kì và vào lại XSS Stored thì vẫn sẽ hiện alert “Hello”
Nếu có ModSecurity:

-Ta thấy ModSecurity đã phát hiện và chặn được thành công 1 cuộc tấn công XSS.
Kiểm tra log #cat /var/log/modsec_audit.log trên máy WAF