💣 第11章：Webアプリへの攻撃演習
こんにちは、守山しずくです🌸
今回はついに実践編！
前の章で作ったローカル環境を使って、 ** 実際にXSSやSQLインジェクションなどの脆弱性を試してみましょう！ **
もちろん、本記事で紹介する演習は ** 安全な仮想マシン内限定 ** です。
本番環境や他人のサーバーでは絶対に実行しないようにしてくださいね🙅♀️
🧪 使用する環境
今回は「DVWA（Damn Vulnerable Web Application）」という超有名な脆弱性学習用アプリを使います。
✔ DVWAとは？
- 脆弱性だらけのWebアプリ（PHP製）
- XAMPP環境やMetasploitable、Kaliなどに簡単に導入可能
- ログイン後、各種脆弱性を試せるGUI付き！
🔧 DVWAのセットアップ（ざっくり）
- ** XAMPP or LAMP環境を構築 **
- ** DVWAを公式GitHubからダウンロード **
https://github.com/digininja/DVWA - ** htdocsに配置し、
configを編集 ** - ** MySQLで初期テーブルを作成（setup） **
- ** ブラウザからログイン（初期ID: admin / password: password） **
🚨 XSSの演習（Stored XSS編）
手順例：
- DVWAの「Stored XSS」ページを開く
- 名前欄に以下のようなスクリプトを入力
<script>alert('XSS発動！');</script>
- サブミットして一覧に戻ると、アラートが実行！
💥 SQLインジェクションの演習（Classic SQLi編）
手順例：
- 「SQL Injection」メニューを開く
- ID入力欄に以下を入力
1' OR '1'='1
- 本来とは異なるユーザー情報が表示されたら成功！
✅ 演習時のポイント
-
DVWAには「Security Level」という設定があります（Low / Medium / High / Impossible）
まずはLowから始めて、だんだん難易度を上げていきましょう！ -
自分が入力した内容が ** どう処理されているか（リクエスト内容） ** をBurp Suiteで確認すると、より深い理解につながります
-
ログインが必要なページやクッキーの扱いにも注目！
🔒 守山しずくからのお願い
- 実験は必ずローカルの検証環境で！
- 他人のWebサイト・ネットワークでは ** 絶対にやらないこと！ **
- 学ぶことと攻撃することは、全く違います
✅ まとめ
- DVWAを使えばXSSやSQLiを安全に練習できる
- セキュリティレベルを変えることで段階的に学べる
- Burp Suiteと組み合わせると理解がさらに深まる
- 実践力＝体験から生まれる！
次回は、 ** 「第12章：パスワードクラッキングの基礎」 ** です🔑
「暗号ってどう解かれるの？」「辞書攻撃って何？」といった疑問に答えます！
💬 フォローしてくれたら、楽しくて安全なセキュリティの世界を毎日お届けします♪