OWASP Webgoat 中文手册 V2.2

WebGoat 中文手册版本:5.4 webgoat 团队 2013年1月 http://www.owasp.org.cn Revision record 修订记录项目任务参与人员完成时间项目人员协调 Rip,袁明坤，Ivy 2012 年 7 月翻译及整核以往版本袁明坤,傅奎,beer,南国利剑,lion 2012 年 8 月 Webgoat5.4 版本测试袁明坤,傅奎,beer,南国利剑,lion 2012 年 8 月 Webgoat5.4 中文手册傅奎 2012 年 9 月审核发布阿保，王颉, 王侯宝 2013 年 1 月前期参与人员蒋根伟，宋飞，蒋增，贺新朋，吴明，akast，杨天识，Snake，孟祥坤，tony，范俊，胡晓斌，袁明坤 [感谢所有关注并参与过 OWASP 项目的成员,感谢你们的分享和付出，webgoat 和大家一起成长！如有修改建议，请发送至 webgoat@owasp.org.cn 我们一起改进，谢谢！ 2 / 177 http://www.owasp.org.cn 目录 1 2 WebGoat 简介 .......................................................................................................................... 6 1.1 什么是 WebGoat ...................................................................................................... 6 1.2 什么是 OWASP.......................................................................................................... 6 1.3 WebGoat 部署 .......................................................................................................... 6 1.4 用到的工具 ............................................................................................................... 7 1.4.1 WebScarab ............................................................................................................ 7 1.4.2 Firebug 和 IEwatch ................................................................................................ 8 1.5 其他说明 ................................................................................................................... 8 WebGoat 教程 .......................................................................................................................... 9 2.1 综合（General） ...................................................................................................... 9 2.1.1 HTTP 基础知识（Http Basics） ........................................................................... 9 2.1.2 HTTP 拆分（HTTP Splitting） ............................................................................. 11 2.2 访问控制缺陷（Access Control Flaws） ............................................................... 19 2.2.1 使用访问控制模型（Using an Access Control Matrix） ................................... 19 2.2.2 绕过基于路径的访问控制方案（Bypass a Path Based Access Control Scheme） ............................................................................................................................. 22 2.2.3 基于角色的访问控制（LAB: Role Based Access Control） ............................... 25 2.2.4 远程管理访问（Remote Admin Access） ......................................................... 36 2.3 Ajax 安全（Ajax Security） .................................................................................... 38 2.3.1 同源策略保护（Same Origin Policy Protection） ............................................. 38 2.3.2 基于 DOM 的跨站点访问（LAB: DOM‐Based cross‐site scripting） ................ 39 2.3.3 小实验：客户端过滤（LAB: Client Side Filtering） .......................................... 43 2.3.4 DOM 注入（DOM Injection） ............................................................................ 46 2.3.5 XML 注入（XML Injection） .............................................................................. 49 2.3.6 JSON 注入（JSON Injection） ............................................................................ 52 2.3.7 静默交易攻击（Silent Transactions Attacks） .................................................. 54 2.3.8 危险指令使用（Dangerous Use of Eval） ......................................................... 57 2.3.9 不安全的客户端存储（Insecure Client Storage） ............................................ 59 2.4 认证缺陷（Authentication Flaws） ....................................................................... 62 2.4.1 密码强度（Password Strength） ....................................................................... 62 2.4.2 忘记密码（Forgot Password） .......................................................................... 64 2.4.3 基本认证（Basic Authentication） .................................................................... 66 2.4.4 多级登录 1（Multi Level Login 1） ................................................................... 71 2.4.5 多级登录 2（Multi Level Login 2） ................................................................... 73 2.5 缓冲区溢出（Buffer Overflows） .................................................