Tutorials

Schritt-für-Schritt-Anleitung: OWASP Broken Web Applications Project (BWA) in VirtualBox installieren

Melden

Das OWASP Broken Web Applications Project (OWASP BWA) ist eine Sammlung extrem verwundbarer Webanwendungen auf einer virtuellen Maschine. Es dient Sicherheitsforschern, Penetrationstestern und Entwicklern dazu, Sicherheitslücken praxisnah in einer sicheren Umgebung zu testen und zu verstehen.

In dieser Anleitung erfährst du, wie du das OWASP BWA-Image herunterlädst und erfolgreich in Oracle VirtualBox einrichtest.

Wichtiger Sicherheitshinweis vorab

Die enthaltenen Anwendungen sind absichtlich hochgradig unsicher. Betreibe diese virtuelle Maschine niemals direkt im Internet oder in einem ungesicherten Produktivnetzwerk.

Voraussetzungen

  • Eine funktionierende Installation von Oracle VirtualBox (inkl. VirtualBox Extension Pack).
  • Ein Entpackungsprogramm (z. B. 7-Zip oder WinRAR).
  • Mindestens 15–20 GB freier Festplattenspeicher.
  • Mindestens 2 GB freier Arbeitsspeicher (RAM).

Schritt 1: OWASP BWA herunterladen

  1. Besuche die offizielle Download-Seite auf SourceForge:
    https://sourceforge.net/projects/owaspbwa/files/
  2. Lade die aktuellste Version der .7z-Datei herunter (z. B. OWASP_Broken_Web_Apps_VM_1.2.7z).
  3. Warte, bis der Download abgeschlossen ist (die Datei ist ca. 1,5 bis 2 GB groß).

Schritt 2: Image-Dateien entpacken

  1. Klicke mit der rechten Maustaste auf die heruntergeladene .7z-Datei.
  2. Entpacke den Inhalt mit 7-Zip in einen Ordner deiner Wahl (z. B. C:\VMs\OWASP_BWA).
  3. Nach dem Entpacken findest du mehrere Dateien vor, darunter Konfigurationsdateien und mindestens eine Datei mit der Endung .vmdk (die virtuelle Festplatte).

Schritt 3: Virtuelle Maschine in VirtualBox erstellen

Da OWASP BWA als VMware-Image vorliegt, binden wir die Festplatte manuell in VirtualBox ein:

  1. Öffne VirtualBox und klicke auf das blaue Symbol „Neu“.
  2. Vergib einen Namen und wähle die Systemeigenschaften:
    • Name: OWASP BWA
    • Typ: Linux
    • Version: Ubuntu (32-bit) oder Ubuntu (64-bit) (je nach Download; meist funktioniert Ubuntu 32-bit/64-bit problemlos)
    • Klicke auf „Weiter“.
  3. Hauptspeicher (RAM):
    • Weise der Maschine mindestens 1024 MB (1 GB), idealerweise 2048 MB (2 GB) RAM zu.
    • Klicke auf „Weiter“.
  4. Festplatte:
    • Wähle die Option „Vorhandene Festplattendatei verwenden“.
    • Klicke auf das kleine Ordnersymbol (Dateibrowser) daneben und anschließend auf „Hinzufügen“.
    • Navigiere in den zuvor entpackten Ordner und wähle die .vmdk-Datei aus (oft heißt die Hauptfestplatte OWASP Broken Web Apps-cl1.vmdk o. ä.).
    • Klicke auf „Auswählen“ und danach auf „Erzeugen“ (bzw. „Fertigstellen“).

Schritt 4: Netzwerkeinstellungen konfigurieren

Damit du vom Host-Rechner (deinem Computer) auf die Webanwendungen zugreifen kannst, ohne das lokale Heimnetzwerk zu gefährden, wird ein Host-only-Adapter (Host-only-Netzwerk) empfohlen:

  1. Klicke die neue VM in der Liste mit der rechten Maustaste an und wähle „Ändern...“ (Einstellungen).
  2. Gehe auf den Reiter „Netzwerk“.
  3. Setze bei Adapter 1 die Option „Angeschlossen an:“ auf:
    • Host-only-Adapter (empfohlen für höchste Sicherheit: nur dein PC kann mit der VM sprechen)
      oder
    • Netzwerkbrücke (Bridged) (die VM erhält eine eigene IP von deinem Router; bequemer, aber die VM ist im gesamten Heimnetz sichtbar).
  4. Klicke auf „OK“, um die Einstellungen zu speichern.

Schritt 5: Virtuelle Maschine starten und IP-Adresse ablesen

  1. Wähle die VM aus und klicke auf „Starten“.
  2. Lass den Bootvorgang durchlaufen. Dies kann beim ersten Start einen Moment dauern.
  3. Am Ende des Bootvorgangs erscheint der Konsolen-Login-Bildschirm.
  4. Wichtig: Direkt im Anmeldebildschirm (oberhalb des Login-Prompts) zeigt dir das System die zugewiesene IP-Adresse an, z. B.:
    http://192.168.56.101/

(Falls du dich auf der Konsole einloggen musst: Benutzername = root / Passwort = owaspbwa)

Schritt 6: Zugriff über den Webbrowser

  1. Öffne deinen bevorzugten Webbrowser auf deinem normalen Betriebssystem (Host).
  2. Gib die im vorherigen Schritt ermittelte IP-Adresse in die Adresszeile ein (z. B. http://192.168.56.101).
  3. Du gelangst auf die Startseite des OWASP Broken Web Applications Project.

Hier findest du nun eine große Auswahl bekannter Trainingsanwendungen, darunter:

  • OWASP Mutillidae II
  • DVWA (Damn Vulnerable Web Application)
  • OWASP WebGoat
  • BodgeIt Store
  • und viele weitere.

Viel Erfolg beim Testen und Lernen!

0