有计划慢慢熟悉安全测试相关的内容,了解OWASP的一些知识,今天做了如下尝试:
1、选择漏洞学习的网站,用WebGoat,步骤非常简单
确认本地已经安装了JAVA运行环境, java - version ; 下载WebGoat的最新版本Jar包: https://github.com/WebGoat/WebGoat/releases
下载好之后,直接cmd 中运行 java -jar ....jar文件既可, 然后通过 http://localhost:8080/WebGoat/login.mvc 来访问环境
2、尝试通过fiddler来跟踪,修改请求,这过程中也尝试通过fiddler的安全测试插件 Watch & X5s来做分析,顺道看下这两工具。
3、尝试 Access Control Flaws->Bypass a Path Based Access Control Scheme 这一课:
目的:获取请求,修改访问文件的路径,尝试直接跨越当前目录,直接访问某目录下的文件,实现文件的访问。
修改的文件目录可以参考: ..\..\..\ ---> 通过特殊字符 ..\ 来访问上层目录。