Webgoat学习笔记

最新推荐文章于 2024-05-31 15:59:54 发布

Sword-heart

最新推荐文章于 2024-05-31 15:59:54 发布

阅读量2.7k

点赞数 1

文章标签： web安全网络安全安全 hack wooyun

本文链接：https://blog.csdn.net/jd_cx/article/details/124419229

版权

0x00 安装

WebGoat的版本区别

WebGoat是一个渗透破解的习题教程,分为简单版和开发版,GitHub地址.

简单版安装

简单版是个JAVA的Jar包,只需要有Java环境,然后在命令行里执行

<code> #!bash

java -jar webgoat-container-7.0.1-war- exec .jar

< /code >

然后就可以访问"127.0.0.1:8080/WebGoat"就可以了,注意"WebGoat"大小写敏感,不能写错.

开发版安装

WebGoat有些题目是开发版中才能做的,所以说需要安装开发版(但是比较坑的是安了开发版也有做不了的)先来看看条件

Java >= 1.6 ( JDK 1.7 recommended )
Maven > 2.0.9
Your favorite IDE, with Maven awareness: Netbeans/IntelliJ/Eclipse with m2e installed.
Git, or Git support in your IDE

Java环境肯定要装,然后因为我用的是Mac所以IDE用的是Xcode,Xcode自带了Git.所以剩下的就剩下Maven.

Maven

用过Xcode的应该知道CocoaPods,Maven就是类似CocoaPods的一个包管理软件,下载地址中下载压缩包,不要下载源码

<code> #!bash

apache-maven-3.3.9-bin.zip

< /code >

然后进行解压缩,之后进行Maven配置,其中x.x.x为版本号,Name为你Mac的账户名

将解压后文件夹apache-maven-x.x.x移到/Users/Name/Library目录下
然后修改~/.bash_profile的内容,如果不存在就新建一个

全部命令行为

<code> #!bash

cd ~ /Downloads/

mv apache-maven-3.3.9 ~ /Library/apache-maven-3 .3.9

vi ~/.bash_profile

< /code >

其中bash_profile的内容为

<code> #!bash

export MAVEN_HOME= /Users/Name/Library/apache-maven-3 .3.9

export PATH=$PATH:$MAVEN_HOME /bin

< /code >

然后进行测试

<code> #!bash

mvn -version

< /code >

看到以下内容就是成功了

<code> #!bash

Apache Maven 3.3.9 (bb52d8502b132ec0a5a3f4c09453c07478323dc5; 2015-11-11T00:41:47+08:00)

Maven home: /Users/Name/Library/apache-maven-3 .3.9

Java version: 1.7.0_80, vendor: Oracle Corporation

Java home: /Library/Java/JavaVirtualMachines/jdk1 .7.0_80.jdk /Contents/Home/jre

Default locale: zh_CN, platform encoding: UTF-8

OS name: "mac os x" , version: "10.11.3" , arch: "x86_64" , family: "mac"

< /code >

WebGoat-Development

在环境安装完毕之后新建一个文件夹WebGoat-Workspace执行sh脚本自动下载和编译

<code> #!bash

mkdir WebGoat-Workspace

cd WebGoat-Workspace

curl -o webgoat_developer_bootstrap.sh https: //raw .githubusercontent.com /WebGoat/WebGoat/master/webgoat_developer_bootstrap .sh

sh webgoat_developer_bootstrap.sh

< /code >

编译提示Exit

有时候可能会碰见类似这样的Debug提示

<code> #!bash

2016-03-08 14:33:20,496 DEBUG - Exit: AxisEngine::init

2016-03-08 14:33:20,496 DEBUG - Exit: DefaultAxisServerFactory::getServer

2016-03-08 14:33:20,496 DEBUG - Exit: getEngine()

< /code >

产生的原因是WebGoat-Lessons的课程配置不对,打开/WebGoat-Lessons/pom.xml大概在100多行找到以下这个,把7.1-SNAPSHOT改成正确的版本号,再次运行sh脚本就可以了

<code> #!bash

<dependency>

<groupId>org.owasp.webgoat< /groupId >

<artifactId>webgoat-container< /artifactId >

<version>7.1-SNAPSHOT< /version >

< type >jar< /type >

<scope>provided< /scope >

< /dependency >

< /code >

Chrome和BurpSuite

使用Chrome主要是其插件比较多,平时上网我都是用Safari的,下载一个插件"Proxy SwitchyOmega",可以设置仅有Chrome走代理,然后将代理指向BurpSuite的端口和地址,BrupSuite使用看这里.

0x01 开始

WebGoat的大坑

由于WebGoat不同的版本课程都不一样,所以说网上的资料也不全,我用的是7.1.0版本,先来上个图

而且!!!最坑的是!!!有些题根本他娘的没答案,或者答案是错的,开发版的题也不知道怎么做!

Introduction

这一章节教了你怎么用这个东西,以及怎么为这个组织贡献课程,主要就是3个选项,没什么实质教学内容

Java Source: 源码
Solution: 答案
Hints: 提示

General-Http Basics

这一章节让你明白什么是Http,可以用BurpSuite拦截一下报文和我Blog中讲的基础进行验证下,Solution使用的拦截工具是WebScarab,单独安装比较难,可以在Kali中使用,但是我用的是BurpSuite,效果一样.

Access Control Flaws-Using an Access Control Matrix

这个就是让你初步理解权限的概念,点一点,找到谁的权限最大就可以了

Access Control Flaws-Bypass a Path Based Access Control Scheme

这一节是让你利用拦截工具,改变参数,访问到原本不能访问的路径,在BurpSuite的Intercept里抓到这个请求

然后根据Hints提醒使用shell脚本里切换到上一级目录的指令".."修改File的值"CSRF.html"构造出另外一个指令

<code> #!bash

../../../../.. /WEB-INF/spring-security .xml

< /code >

就可以访问到目标目录意外的文件,但是坑爹的是不论试验了多少次都提示我

<code> #!bash

* Access to file /directory " ../../../../../WEB-INF/spring-security.xml" denied

< /code >

然后看Solution里说是访问main.jsp于是改为

<code> #!bash

../../../../.. /main .jsp

< /code >

课程通过...Hints和Solution根本不一样...这就是WebGoat的坑爹之处

Access Control Flaws-LAB: Role Based Access Control

Stage 1: Bypass Business Layer Access Control

权限管理问题,由于代码没有对Control里的Delete指令做权限管理,又通过action字段判断Control指令,所以原本不应该有Delete权限的Tom执行了Delete操作.

使用密码jerry进入Jerry Mouse的帐号,有ViewProfile和DeleteProfile的操作
使用密码tom进入Tom Cat的帐号,只有ViewProfile
执行ViewProfile拦截请求,改action为DeleteProfile

Stage2

说是需要在开发版下修复这个问题,没找到怎么修复.

Stage 3: Bypass Data Layer Access Control

水平越权问题,View这个操作不能像Delete一样对Tom进行权限上的控制,那么与Tom出于同一层级的其它用户也具有这个权限,所以说Tom可以通过拦截修改employee_id水平的访问其它人的资料,也是属于非正常逻辑.

Stage4

需要对每一个操作再次进行权限核实,才能解决这个问题,也是要求在开发版下完成这节课,但是我也不知道怎么完成.

AJAX Security-LAB: Client Side Filtering

客户端过滤,有些时候服务器返回的了很多条信息,只挑选了其中少数进行显示,可以在返回的html源码中看到全部的信息.

选中名字附近元素点击"检查"
在源码中搜索关键词"hidden" "Joanne"等
发现有3个"Joanne",其中一个隐藏了Neville的信息

AJAX Security-DOM Injection

DOM:文档对象模型(Document Object Model),是W3C组织推荐的处理可扩展标志语言的标准编程接口.就是HTML报文中的节点,这里说是通过DOM注入的方式让原本网页中不可点击的按钮变为可点击.

输入License Key会自动发起一个Ajax的请求
通过拦截AJAX请求的返回报文,把报文头和内容全部清空
更改返回为一段JS代码

如下

<code> #!bash

document.form.SUBMIT.disabled = false

< /code >

此时按钮就可以使用了,除了这个方法之外,还可以直接检查按钮

<code> #!bash

<input disabled= "" id = "SUBMIT" value= "Activate!" name= "SUBMIT" type = "SUBMIT" >

< /code >

改disabled为false或者直接删除这个标记.

AJAX Security-LAB: DOM-Based cross-site scripting

这就是一个简单的反射型XSS的演示,依次输入以下内容在文本框里

<code> #!bash

World // 正常

<IMG SRC= "images/logos/owasp.jpg" /> //XSS 插入图片

<img src=x onerror=;;alert( 'XSS' ) /> //XSS 插入Alert

<IFRAME SRC= "javascript:alert('XSS');" >< /IFRAME > //XSS 插入iFrame

< /code >

甚至可以直接伪造界面

<code> #!bash

Please enter your password:

<BR><input type = "password" name= "pass" />

<button onClick= "javascript:alert('I have your password: ' + pass.value);" >Submit< /button >

<BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR><BR>

< /code >

AJAX Security-XML Injection

XML注入攻击,和HTML注入攻击一样,都是利用文本解析机制,写入恶意输入

输入ID:836239,拦截请求
修改返回报文的XML文件,给自己跟多的选择

返回报文

<code> #!bash

HTTP /1 .1 200 OK

Server: Apache-Coyote /1 .1

Cache-Control: no-cache

Content-Type: text /xml

Date: Tue, 08 Mar 2016 08:46:40 GMT

Content-Length: 136

<root>

<reward>WebGoat Mug 20 Pts< /reward >

<reward>WebGoat t-shirt 50 Pts< /reward >

<reward>WebGoat Secure Kettle 30 Pts< /reward >

< /root >

< /code >

可以修改内容为

<code> #!bash

<root>

<reward>WebGoat Mug 20 Pts< /reward >

<reward>WebGoat t-shirt 50 Pts< /reward >

<reward>WebGoat Secure Kettle 30 Pts< /reward >

<reward>WebGoat Core Duo Laptop 2000 Pts< /reward >

<reward>WebGoat Hawaii Cruise 3000 Pts< /reward >

< /root >

< /code >

AJAX Security-JSON Injection

JSON注入攻击,原理和XML注入攻击一样

From输入BOS,to输入SEA
拦截请求返回报文

如下

<code> #!bash

HTTP /1 .1 200 OK

Server: Apache-Coyote /1 .1

Cache-Control: no-cache

Content-Type: text /html

Date: Tue, 08 Mar 2016 08:50:24 GMT

Content-Length: 169

{

"From" : "Boston" ,

"To" : "Seattle" ,

"flights" : [

{ "stops" : "0" , "transit" : "N/A" , "price" : "$600" },

{ "stops" : "2" , "transit" : "Newark,Chicago" , "price" : "$300" }

]

}

< /code >

修改600美元为30美元就可以便宜了

AJAX Security-Insecure Client Storage

这是最坑的一道题!!!

先来说下题目的原意,题目中让你找出优惠券号码,然后享受优惠,利用情形是

有的优惠券号码是由服务器发送到前端的
为了防止从源码窃取,发送到浏览器的是加密后的优惠码,用一定算法进行解密
然后对比解密后的优惠券和用户的输入
相同就享受优惠

这里有个逻辑漏洞,就是拿解密后的优惠码明文和用户输入进行对比,而不是加密用户的输入与密文对比,所以前端还是可以通过JS打断点获取到优惠码明文.

大坑来了

如果相对JS打断点,首先要能在控制台找到JS脚本文件,由于整个页面是使用了JQuery内嵌了课程内容(网页内部嵌另外一个网页),红色框内的内容是动态加载的,所以直接在Sources页面根本找不到内嵌网页的"clientSideValidation.js"

这个坑了我好久啊,对前端不熟悉怎么都找不到.js文件

Solution里给的答案第一步就是让你定位"clientSideValidation.js",定位不到怎么办!!!!

检查Network

既然内部的网页是动态加载的,那么肯定有网络通讯,可以通过检查Network看记录,和"clientSideValidation.js"附近的文件有个条网络请求"attack?Screen=272&menu=400"的,点击可以看到红色框体内的页面,然后可以获取到实际地址

<code> #!bash

http: //zhuojiademacbook-pro . local :8080 /WebGoat/attack ?Screen=272&menu=400

< /code >

利用Request拦截

除去查看Network之外,还可以利用BurpSuite拦截Ajax请求,因为整个页面是通过Ajax刷新的,Ajax本身又是一种请求,那么只要我点击purchase,就可以拦截到一条Request请求,且能看到页面内的相关参数

对这个请求点击Action-Send to repeater
右键-Show response in browser
从浏览器里打开链接(注意此时关闭拦截)
就跳转到了实际内部页面的地址

得到了实际地址后,就可以在子页面内调试JS

Stage2

第二步说的是有些在前端可以通过删除掉input框的readonly标记任意修改金额,比较简单

AJAX Security-Dangerous Use of Eval

Eval是php语言中执行一段JS代码的意思,这一道题也是一种典型的反射型XSS展示,与刚刚基于DOM的不同,DOM是直接插入新节点,而这个是使用一定技巧,先关闭原本的DOM,然后写自己的DOM,再组装好刚刚被关闭DOM的后半部分.

通过php的Eval,alert被执行

<code> #!bash

123 ');alert(document.cookie);('

< /code >

123后的

1 2	`<code>');` `<` `/code` `>`

使得原本的DOM不受影响,最后的

1 2	`<code>('` `<` `/code` `>`

闭合掉了原本多出的')符号

插入代码的样子是

1 2	`<code>(` `'123'` `);alert(document.cookie);(` `''` `)` `<` `/code` `>`

0X02 后续

Authentication Flaws-Password Strength

介绍了不同复杂度的密码需要破解的时间,给的网站

1 2	`<code>https:` `//howsecureismypassword` `.net` `<` `/code` `>`

尼玛根本打不开,已经不存在了貌似,翻墙也没有

Authentication Flaws-Forgot Password

题目的所有目的都是告诉你有些忘记密码的问题太简单,可以直接猜出来....尼玛...猜出来..猜出来..

输入admin
密码问你最喜欢的颜色
颜色不就没几种么
猜红黄绿三原色,然后green就猜中了

Authentication Flaws-Multi Level Login 1

这个题目坏掉了,题目的本意是第二步提交TAN#值的时候,有个叫hidden_tan的隐藏参数,来告知客户端哪个TAN值被用掉了,只需要修改这个值,就可以再次利用被使用过的TAN

可是我使用Jane和tarzan登录之后,第二次再登录不能用了...不知道是不是我理解错了.还是!!真的坏掉了!!

Authentication Flaws-Multi Level Login 2

两步验证的错误,意思是让你使用Joe和banana这个账户来登录Jane,因为第二步有个input的值叫hidden_user,在使用了Joe登录后,用户信息会被存在这个字段在第二步发送,所以只需要修改这个字段为Jane,就可以登录Jane

Buffer Overflows-Off-by-One Overflows

这一章节是为了介绍内存溢出带来的危害...但是题目感觉是为了出题而出题,并没有真实还原一个内存溢出造成的BUG

第一步让你提交入住等级,姓名.房间号
第二步让你选择入住时间
选择成功会返回你的姓名和房间号

这里对第三个参数填充超级大的数据,比如大于4096位的字符串,就可能造成内存溢出漏洞,从而返回VIP客户的房间号和姓名

大坑来了

这个题目的想法是好的,目的在于输入框输入位数有限制,那么可以通过拦截报文,然后使用Intruder进行爆破,填充超级大的数据来造成内存溢出,但是,这里并没有真正还原了一个内存溢出错误,而是通过以下代码

<code> #!php

// And finally the check...

if (param3.length() > 4096)

{

ec.addElement(new Input(Input.hidden, "d" , "Johnathan" ));