首页/资讯中心/详情

WebGoat 8.0 实战演练：从环境搭建到JWT令牌攻防

WebGoat 8.0 实战演练：从环境搭建到JWT令牌攻防
📅 发布时间：2026/6/29 16:10:00

1. WebGoat 8.0 环境搭建全攻略

第一次接触WebGoat时，我也被这个奇怪的名字吸引了——"Web山羊"？其实这是OWASP基金会专门设计的Web应用安全靶场平台。就像山羊会吃掉沿途的杂草，WebGoat能帮我们"吃掉"Web应用中的安全隐患。8.0版本采用Docker容器化部署，比老版本省去了Java环境配置的麻烦。

1.1 准备工作：Docker快速安装

在Kali Linux上安装Docker只需三条命令。建议用root用户操作，避免权限问题：

apt update && apt install -y docker.io systemctl start docker systemctl enable docker

验证安装是否成功可以运行docker ps，如果看到空表格说明服务正常运行。常见坑点：某些Kali版本需要手动安装docker-ce而非docker.io，如果遇到报错可以尝试更换安装源。

1.2 靶场容器部署

WebGoat 8.0实际上由三个容器组成：

docker pull webgoat/webgoat-8.0 docker pull webgoat/webwolf # 配套的渗透测试工具 docker pull webgoat/goatandwolf # 综合环境

启动时建议指定端口映射，避免与本地服务冲突：

docker run -d -p 8080:8080 -p 9090:9090 webgoat/goatandwolf

这里我把Web界面映射到8080端口，管理后台映射到9090。第一次启动会稍慢，需要等待初始化完成。我在测试时遇到过容器启动失败的情况，通常是因为端口冲突或内存不足，可以通过docker logs <容器ID>查看具体错误。

1.3 渗透工具配置

Burp Suite是必备的抓包工具，Kali自带社区版。配置时要注意：

  1. 修改默认8080端口为8081（避免与WebGoat冲突）
  2. 在Firefox中设置代理为127.0.0.1:8081
  3. 导入Burp的CA证书（访问http://burp下载）
  4. 关键一步：在about:config中设置network.proxy.allow_hijacking_localhost=true

实测中我发现新版Firefox有时会忽略代理设置，这时可以尝试用Chromium浏览器。如果遇到HTTPS网站证书警告，需要在Burp的Proxy→Options中导出证书，手动导入到浏览器的证书管理器。

2. 基础安全概念实战

2.1 HTTP协议攻防基础

在General→HTTP Basics环节，我遇到了第一个挑战：通过修改请求参数绕过前端验证。看似简单的POST请求，隐藏着关键的安全逻辑：

  1. 用Burp拦截表单提交请求
  2. 观察响应中的success字段
  3. 尝试将GET参数改为POST body参数
  4. 发现服务端其实接受两种传参方式

这暴露了开发中常见的错误：前后端参数校验不一致。我记录了几个典型漏洞模式：

  • 参数位置混淆（URL参数 vs Body参数）
  • 请求方法混用（GET处理敏感操作）
  • 无CSRF防护令牌

2.2 开发者工具妙用

Developer Tools环节展示了控制台的神奇作用。有个题目要求通过控制台调用未公开的API函数：

// 在浏览器控制台输入 webgoat.customjs.answer(42)

这种后端API暴露问题在实际渗透中经常遇到。我常用的挖掘技巧包括：

  • 分析前端JS源码查找隐藏接口
  • 监控XHR请求寻找非常规端点
  • 尝试修改API响应数据

2.3 密码学实战要点

Crypto Basics模块让我重温了加密基础知识。Base64解码这种基础操作在Burp中就能完成，但遇到WebSphere特有编码时就需要特殊工具了。我整理了几个实用资源：

  • WebSphere Password Decoder
  • CMD5在线解密平台
  • Kali自带的OpenSSL工具链

对于RSA解密任务，关键是要理解PKCS#8格式的私钥结构。用OpenSSL解析密钥模数的命令值得收藏：

openssl rsa -in key.key -modulus -noout

3. SQL注入深度实战

3.1 基础注入技巧

在SQL Injection(intro)环节，从简单的SELECT语句到危险的UPDATE操作，完整演示了注入的危害。有个题目要求修改Tobi的部门信息，我使用的Payload：

UPDATE employees SET department='Sales' WHERE first_name='Tobi'

但更危险的是通过注入执行多语句操作：

1'; UPDATE employees SET salary=1000000 WHERE 1=1--

这种漏洞的根源在于直接拼接用户输入。我在实际项目中见过更隐蔽的案例：即使使用预编译语句，如果表名/列名参数化处理不当，仍然存在注入风险。

3.2 高级联合查询

当需要跨表查询时，UNION SELECT是经典手法。关键点在于：

  1. 确定主查询列数（通过ORDER BY试探）
  2. 匹配数据类型（用NULL或数字占位）
  3. 处理特殊字符（单引号转义）

一个成功的Payload示例：

1' UNION SELECT 1,username,password,4 FROM user_system_data--

最近我遇到个有趣案例：某系统对UNION关键词过滤，但允许UNION%0bSELECT（利用空白符变种绕过）。

3.3 防御措施绕过

SQL Injection(mitigation)展示了参数化查询的防护效果，但仍有绕过可能。当空格被过滤时，我用注释符代替：

admin'/**/OR/**/'1'='1

其他绕过技巧包括：

  • 字符编码（%A0代替空格）
  • 字符串拼接（CONCAT('sel','ect')）
  • 注释符混淆（/!SELECT/）

4. JWT令牌攻防实战

4.1 令牌伪造漏洞

JWT tokens环节最令人警醒。通过修改alg为none，可以绕过签名验证：

  1. 解码原始令牌获取payload
  2. 修改admin:false为true
  3. 删除签名部分
  4. 设置header中alg=none

实际案例中，我还遇到过密钥硬编码问题。某系统在代码中直接写死了HMAC密钥，通过反编译APK轻松获取。

4.2 密钥爆破实战

当遇到HS256签名的JWT时，可以用hashcat爆破：

hashcat -m 16500 token.txt rockyou.txt -O

我优化爆破效率的几个技巧：

  1. 先尝试常见密钥（如secret、password、123456）
  2. 结合目标业务特点生成字典（如公司名+年份）
  3. 使用规则攻击（在基础词后添加数字）

4.3 逻辑漏洞组合利用

最后的综合挑战展示了JWT与业务逻辑的结合利用。通过分析源码发现关键点：

  1. 系统通过kid参数从数据库查询密钥
  2. 存在SQL注入漏洞
  3. 可以构造特殊kid控制签名结果

最终Payload结构：

{ "alg": "HS256", "typ": "JWT", "kid": "webgoat_key' UNION SELECT 'bm90YXNlY3JldA==' FROM INFORMATION_SCHEMA.SYSTEM_TABLES--" }

这个案例生动说明：单点防护不足以保证安全，必须建立纵深防御体系。