webgoat实验.pptx

WebGoat什么是WebGoat？ WebGoat 是 OWASP 组织研制出的用于进行 web 漏洞实验的应用平台，用来说明 web应用中存在的安全漏洞。WebGoat运行在带有java虚拟机的平台之上，当前提供的训练课程有30多个。WebGoat部署（Windows 系统）1.将 WebGoat-OWASP_Standard-5.4.zip 解压至合适的目录中。2.启动 Tomcat，切换至前面存放解压后的 WebGoat 的目录，然后双击 webgoat.bat 即可。3.启动浏览器，在地址栏输入 http://localhost/WebGoat/attack代理工具WebScarab WebScarab 是一个用来分析由浏览器提交到服务器请求，以及服务器对浏览器做出的响应的应用服务框架。在 WebGoat 进行某些漏洞攻击时，可以利用 WebScarab 分析，修改所提交的请求，以及返回的响应。。代理设置HTTP 超文本传送协议 (HTTP-Hypertext transfer protocol) ,定义了浏览器（即万维网客户进程）怎样向万维网服务器请求万维网文档，以及服务器怎样把文档传送给浏览器. HTTP是一个应用层协议，由请求和响应构成，是一个标准的客户端服务器模型。Http请求Http响应HTTP响应也是由三个部分组成，分别是：状态行、消息报头、响应正文? HTTP请求由三部分组成，分别是：请求行、消息报头、请求正文HTTP/1.1 302 Moved TemporarilyServer: Apache-Coyote/1.1Location: http://localhost/WebGoat/attack?Screen=231menu=100fromRedirect=yeslanguage=enContent-Type: text/html;charset=ISO-8859-1Content-length: 0Date: Tue, 28 Oct 2014 08:47:05 GMTConnection: closePOST /reg.jsp HTTP/ (CRLF)Accept:image/gif,image/x-xbit,... (CRLF)...HOST: (CRLF)Content-Length:22 (CRLF)Connection:Keep-Alive (CRLF)Cache-Control:no-cache (CRLF)(CRLF)???????? //该CRLF表示消息报头已经结束，在此之前为消息报头user=jeffreypwd=1234? //此行以下为提交的数据Http?Basics1.了解浏览器和 Web 应用程序之间数据交互的基本知识2.使用WebScarab代理工具访问控制缺陷 一个基于角色的访问控制方案中，角色代表了一组访问权限和特权。一个用户可以被分配一个或多个角色。一个基于角色的访问控制方案通常有两个部分组成：角色权限管理和角色分配。一个被破坏的基于角色的访问控制方案可能允许用户执行不允许他/她的被分配的角色，或以某种方式允许特权升级到未经授权的角色的访问。绕过基于路径的访问控制方案 在一个基于路径的访问控制方案中，攻击者可以通过提供相对路径信息遍历路径。因此，攻击者可以使用相对路径访问那些通常任何人都不能直接访问或直接请求就会被拒绝的文件。 例如在一个基于权限的卖家管理系统，每个卖家只能操作自己的订单信息和商品信息，现在有卖家A和卖家B。A的商品信息被放在/webapps/A/下，例如/webapps/A/item1.html。B的商品信息被放在/webapps/B 下 A可以通过商品列表接口访问自己的商品信息，服务器验证A的身份后将A目录下的商品列表返回给客户端。A浏览自己商品时会向服务器发送访问请求，HTTP请求POST?http://localhost/http://localhost:8080/WebGoat/attack?Screen=57menu=200?HTTP/1.1Host: localhost:8080Connection: keep-aliveContent-Length:36Cache-Control: max-age=0Authorization: Basic Z3Vlc3Q6Z3Vlc3Q=Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8?File=item1.htmlSUBMIT=View+File修改后的http请求POST?http://localhost/http://localhost:8080/WebGoat/attack?Screen=57m