部署使用WebGoat6網路漏洞測試平台

標籤：漏洞   webgoat   

    什麼是WebGoat？引用一下OWASP官方介紹：

    WebGoat是OWASP組織研製出的用於進行web漏洞實驗的應用平台，用來說明web應用中存在的安全性漏洞。WebGoat運行在帶有java虛擬機器的平台之上，當前提供的訓練課程有30多個，其中包括：跨網站指令碼攻擊（XSS）、存取控制、安全執行緒、操作隱藏欄位、操縱參數、弱會話cookie、SQL盲注、數字型SQL注入、字串型SQL注入、web服務、Open Authentication失效、危險的HTML注釋等等。WebGoat提供了一系列web安全學習的教程，某些課程也給出了視頻示範，指導使用者利用這些漏洞進行攻擊。

    WebGoat多年來一直是版本5.4，今年升級為版本6。主要是基於新的架構和介面對各項課程進行了重新整合，項目首頁是http://webgoat.github.io/。

    先來看一下兩個版本的介面：

   

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M02/51/3E/wKioL1RjC46wwLR4AAdAYGgdsuw150.jpg" style="float:none;" title="選區_002.png" alt="wKioL1RjC46wwLR4AAdAYGgdsuw150.jpg" />

650) this.width=650;" src="http://s3.51cto.com/wyfs02/M00/51/3F/wKiom1RjCyOjLZ1lAAXCrxP6zXo646.jpg" style="float:none;" title="選區_001.png" alt="wKiom1RjCyOjLZ1lAAXCrxP6zXo646.jpg" />

   

   實際使用中，新版本不僅介面漂亮，關鍵是hints、solutions等選項的內容更加完善，便於學習。使用WebGoat有兩種方法，一是直接下載運行包WebGoat-6.0-exec-war.jar，然後：

    java -jar WebGoat-6.0-exec-war.jar

    隨後就可以在本機瀏覽器裡使用了：

    http://localhost:8080/WebGoat

    但是個人更傾向於另一種方法，就是下載源碼包，通過maven部署使用。好處是可以完成一些需要修改原始碼的課程，而且不限於本機運行。但全新安裝tomcat、maven、java等必需環境，而且把參數設定好非常麻煩，所以直接在OWASP的Broken Web APP虛擬機器上使用是最方便的，因為環境都已經構建好了。具體步驟如下：

    下載得到WebGoat-Master.tar.gz，複製到/var/www裡解壓，得到WebGoat-master項目目錄：

     因為虛擬機器啟動時tomcat已經運行了，所以要先停止服務，再用mvn啟動。將幾個過程寫成批處理：

    cat >~/run_webgoat6.sh<<EOF    /etc/init.d/tomcat6 stop    cd /var/www/WebGoat-master    mvn clean tomcat:run-war    EOF

    這樣，WebGoat5.4和6兩個版本就是虛擬機器裡共存了。開機以後不運行run_webgoat6.sh指令碼，則啟動webgoat5.4，運行了以後再從主介面進入就可以play了！

   

本文出自 “安全小站” 部落格，請務必保留此出處http://tankaiha.blog.51cto.com/8553228/1575713

部署使用WebGoat6網路漏洞測試平台