6.4 Web安全漏洞学习平台：WebGoat的使用

目录

一、预备知识

1、WebGoat介绍

2、JDK

二、实验环境

三、实验步骤

1、JDK安装

2、JDK环境配置

3、WebGoat下载

6、以字符串型SQL注入实验为例进行简单的讲解

一、预备知识

1、WebGoat介绍

        WebGoat是一个用来演示Web浏览器中典型安全漏洞的应用程序，其目的是在应用程序安全审查的上下文中系统、完整地介绍如何测试和利用这些安全漏洞。

        WebGoat用Java语言编写，可以安装到所有带有Java虚拟机环境的平台上。此外，WebGoat还分别为Linux、OS X Tiger和Windows系统提供了相应的安装程序。无论运行在什么操作系统平台上，WegGoat都会自动跟踪用户的操作过程，记录在平台上的学习进展。WegGoat 当前提供的训练课程有30多个，其中包括跨站点脚本攻击(XSS)、访问控制、线程安全、操作隐藏字段、操纵参数、弱会话Cookie、SQL盲注、数字型SQL注人、字符串型SQL注人、Web服务、OpenAuthen-tication、危险的HTML注释等内容。

        虽然WebGoat中对于如何利用漏洞给出了大量的解释,但还是比较有限的。不过，对于初学者来说，WegGoat是一个功能丰富、便于使用的学习平台。它的每个教程都明确告诉读者存在什么漏洞，但是如何去攻破这些漏洞，还需要读者继续查阅相关资料，通过进一步学习来了解该漏洞的原理、特征和攻击方法，甚至需要读者搜集相关的辅助攻击工具，完成各种攻击过程。

2、JDK

        JDK（Java Development Toolkit）是JAVA开发工具包，包括Java的运行环境（JRE）、java工具、java基础类库。一般安装完JDK后会有以下几个文件：

• bin，包含java最重要的编译器；
• lib，包含java的类库；
• include，JAVA与JVM交互用的头文件。（JVM：执行JAVA程序的Java虚拟机。）

        也就是说，要想运行WebGoat，必须先安装JDK！！！

二、实验环境