WebGoat——代码质量、并发、拒绝服务、不当的错误处理

最新推荐文章于 2024-01-04 15:47:23 发布

lay_loge

最新推荐文章于 2024-01-04 15:47:23 发布

阅读量563

点赞数

分类专栏： WebGoat

本文链接：https://blog.csdn.net/lay_loge/article/details/89531924

版权

本文介绍了WebGoat项目中的四个安全挑战：代码质量问题，如通过源码泄露的登录信息；并发问题，展示了如何利用线程安全问题查看其他用户信息；购物车并发缺陷，利用并发购买低价商品；以及错误处理不当，利用失败的开放认证进行无密码登录。通过这些实例，揭示了Web应用中常见的安全风险和防范措施。

摘要由CSDN通过智能技术生成

一、Code Quality 代码质量

1.题目：
Below is an example of a forms based authentication form. Look for clues to help you log in.
以下是基于认证登录表单中的一个代表，尝试着寻找蛛丝马迹以帮助你的登录。

2.课程目标：
在这里插入图片描述
课程标题：如何从html源码中发现线索
课程主题：开发人员因将TODO，Code Broken，Hack等语句留在源代码中而臭名昭着。查看源代码，来寻找注释中表示密码、后门、或者其他不能正常工作的部分。
课程目标：用户应该能够绕过认证检查。

3.操作步骤：

这一课程主要为了强调开发人员在代表撰写中存在的代码质量不高的问题，常会出现程序员账号密码、后门等信息留在源码注释中的现象，因此本课程可以通过查看网页源代码来解决。

（1）打开火狐浏览器的web开发者选项，查看网页源代码。
（2）找到代码中的如下注释内容：
在这里插入图片描述
（3）于是，对应的账号输入：admin，密码输入：adminpw

二、Concurrency 并发——Thread Safety Problems 线程安全问题

1.题目：
The user should be able to exploit the concurrency error in this web application and view login information for another user that is attempting the same function at the same time. This will require the use of two browsers. Valid user names are ‘jeff’ and ‘dave’.
用户应该能够