juiceshop安全测试环境搭建及闯关提升过程-1星-2星

一、OWASP果汁店介绍

OWASP果汁店是OWASP组织提供的官方提升安全技术的示例网站：
源码：

• https://github.com/bkimminich/juice-shop#docker-container
  网站的框架结构：
  

  框架结构.png
  
  帮助文档：大家可以仔细读这个也可提升。https://pwning.owasp-juice.shop/appendix/solutions.html
  我帮大家整理一些有意思的例子，提升大家的安全测试水平。

二、搭建示例网站

使用docker

docker run --rm -p 3000:3000 bkimminich/juice-shop

示例网站首页.png

三、闯关开始

基本按简单到难的方式，涉及的技术大家自己脑补自学。

第一星级-1 【*】：找到隐藏的记分板 类型：代码分析

1、点击搜索，发现url为http://IP/#/search，现使用chrome的F12找到main-es2018.js,在source,打开文件，使用pretty print查看内容。

开发者工具中找到js文件.png

2、搜索search这个关键词，这是个模块的路由。看是否有隐藏的路由。我们可以找到有score-board,administation等。

找到js中开发写的路由url.png

3、访问这个地址： http://IP/#/score-board，如下图，找到隐藏的记分板，如果你 成功，网站会有恭喜的成功了一个挑战！！

记分板.png

第一星级-2 【* 】查阅机密文件 类型：敏感信息泄漏

1、点击提示，组成url为http://IP/#/ftp；或使用上面方法也可以
2、进入查看能看的文件，发现机密文件