WebGoat
Autor: Teet Raudsep, AK32
Info staatus
Pooleli.
WebGoat tutvustus
WebGoat program on loodud selleks, et tuvustada ning aidata õppida veebi aplikatsioonide turvalisust. Programm on J2EE baasil loodud ning töötab platvormist sõltumata.
--- WebGoat is a deliberately insecure J2EE web application designed to teach web application security concepts Details
Eelinfo
WebGoat paigaldamise ja programmiga käivad kaasas järgnevad programmid:
-p7Zip
-Java -bin ja -jdk
Installeerimise juhend VMWare 1.0.10. + Ubuntu 9.10 näitel
Installeerimiseks juhendun leheküljel läbi proovitud materjale.
Käsureal toimetades alustame paigaldust:
1) Paigaldan Java (sun-java6-bin, sun-java6-jdk)
# apt-get-install sun-java6-bin sun-java6-jdk
2) Kontrollib kas pakkimis rpgramm 7Zip on installeeritud kui ei ole siis paigaldab.
3) Laeb alla WebGoati programmi ning pakib lahti ja tõstab /usr/local/ kausta.
# wget http://webgoat.googlecode.com/files/WebGoat-OWASP_Standard-5.3_RC1.7z # /usr/bin/p7zip -d WebGoat-OWASP_Standard-5.3_RC1.7z # mv WebGoat-5.3_RC1/ /usr/local # cd /usr/local/WebGoat-5.3_RC1/
4) Nüüd on vaja viia vastavusse "webgoat.sh" faili sisu sinu süsteemiga ja teeb enne muudatuste tegemist varukoopia konfiguratsiooni faiist ning muuta "webgoat.sh" fali õigusi.
# cp webgoat.sh webgoat.sh.orig # chmod +x webgoat.sh # nano webgoat.sh
Lisada faili peale rida mis sisaldab "CATALINA_HOME" rida "export JAVA_HOME=/usr/lib/jvm/java-6-sun". Samuti kontrollida Java versiooni järgnevatel ridadel.
Järgnevaks installeerime WebScrapi, mis kujutab endast proxit mida on vaja WebCoati tundideks. Lae alla ja installeeri järgnevalt.
# cd /tmp # wget http://dawes.za.net/rogan/webscarab/webscarab-current.zip # unzip webscarab-current.zip # mv webscarab-* /usr/local/webscarab
Et oleks lihtsam lisas Firefoxi brauserile "FoxiProxy" aplikatsiooni, Firefoxi pluginate leheküljelt.
Peale plugina installatsiooni ja firefoxi taaskäivitamist seadistab FireProxi järgnevalt.
Click on FoxyProxy icon in lower right and select Add New Proxy. The FireProxy window should appear. On the General tab, under Proxy Name enter "WebScarab". On the Proxy Details tab, select Manual Proxy Configuration. For Host or IP Address enter "127.0.0.1" For Port enter "8008" On the URL Patterns tab select Add New Pattern For Pattern Name enter "WebGoat" For Pattern URL enter "http://*127.0.0.1/WebGoat/*" (The first "*" here matches the "guest:guest" string for authentication.)
Click OK Close Proxy Settings Under Mode select Use proxies based on their pre-defined patterns and priorites. Close FoxyProxy Options
Now you probably want to open a couple of terminal windows (or tabs) one for WebScarab and one for WebGoat. In the first window fire up WebScarab:
- java -jar /usr/local/webscarab/webscarab.jar
You should see a WebScarab window open after a moment.
Then, in the other window, fire up WebGoat:
- cd /usr/local/WebGoat-5.2
- ./webgoat.sh start80
WebGoat will churn for a little bit, but then you should eventually see a message like "INFO: Server startup in 3546 ms". At this point you are ready to go by pointing your browser at http://guest:guest@127.0.0.1/WebGoat/attack
At this point you should see not only WebGoat appear in your browser, but WebScarab should start displaying bunch of requests. Click on the image at the top of this post for what things should look like.
Kastutatud materjal
Google WebCoat projekti leht
WebGoat
Tõlkke aluseks võetud VM installeerimise juhend
OWASP koduleht.
Tomcati install
