WebGoat Lab 1.3-5：SQL Injection & XSS攻击实战与部署教程

本篇文档主要介绍了在SP2019的Lab 1.3、1.4和1.5中关于WebGoat的实验设置与使用的部分内容。WebGoat是一个广泛用于网络安全教育和实践的Java Web应用程序，它提供了丰富的实践环境，让学生学习并了解SQL注入（SQL Injection）和跨站脚本攻击（XSS Attack）。 在Lab 1.3部分，学员被要求熟悉WebGoat的安装和使用流程。步骤包括从GitHub下载RELEASE版本的WebGoat，由于某些电脑可能需要升级Java版本（至少11以上），这里提到下载了M17的jar包。部署WebGoat时，需要通过`java --add-modules java.xml.bind-jar webgoat-server-8.0.0.VERSION.jar`命令，然后通过`http://127.0.0.1:8080/WebGoat`访问，并注册新账户以开始攻击相关课程。 在攻击部分，特别是Lab 1.4的SQL Injection部分，学员需要完成各种类型的注入攻击。例如，一个问题提示攻击者需要构造一个SQL查询，如`"select * from users where LAST_NAME=?" + userName + "'";`。解决方法是利用参数化查询的原理，将表达式改为`LAST_NAME='?' or [true expression]`，使得where语句始终有效，以此防止注入。 另一个问题涉及User ID字段，建议将表达式改为`USERID=? or true`，以达到类似的效果。这些练习旨在让学生理解如何识别和防御SQL注入漏洞。 Lab 1.5关注的是Web XSS攻击。同样，学员需要在这个部分完成各种类型的XSS攻击，确保遵循WebGoat的检查机制。完成特定攻击后，系统会验证攻击是否成功。 此外，文档还提到了一个额外的要求，即选择两种Web攻击类型并在WebGoat中完成所有相关的攻击项，这增加了学习者对不同攻击技术的综合理解和实践。 在部署过程中遇到的问题是，使用`java-jar webgoat-server-8.0.0.M17.jar`命令可能会报错。解决方案没有在文档中详细说明，但通常这类问题可能是由于依赖版本不匹配或配置问题，可能需要查阅WebGoat的官方文档或社区支持来找到正确的解决方案。 总结来说，此文档围绕WebGoat平台提供了一个实践性的学习路径，重点在于SQL注入和XSS攻击的理解以及实际操作技能的提升。通过完成这些任务，学习者将能增强在真实环境中防御这些常见安全威胁的能力。