OWASP WebGoat 구축

WebGoat 이미지 다운로드

https://hub.docker.com/r/webgoat/goatandwolf

 

자바 기반

webgoat 이미지 삽입

초기 입력 root / root

 

ifconfig

ip가 나오지 않을 때

vi /etc/init.d/network.sh

ip add  eth 뒤에 숫자 기억

vi /etc/network.conf

기억해뒀던 숫자로 수정

/etc/init.d/network.sh  (실행)

ifconfig  ip 올라옴

스크립트 실행 중간에 잠시 멈추는 지점에서 엔터 X 4~5 (난 안멈추고 바로 됨)

---

KALI

firefox에서 진입. 포트는 8080 (아까 머신에서 포트 나옴. 위에 참고)

guest로 진입(guest/guest)

zap 실행

실행 후 웹브라우저 프록시 서버 127.0.0.1로 설정 (http, https 똑같이 설정)

zap에서 패킷 잡기

webgoat에서 아무거나 view File

zap 브레이크를 걸어뒀기 때문에 들어가서 보면 됨 내가 선택한 파일 이름도 파악할 수 있음

zap에서 브레이크

웹에서 아무거나 view File

웹 하단부를 보면 main.jsp 파일에 대한 내용들을 쉽게 파악할 수 있다.

경로 기반의 파일 실행이라고 생각하면 된다.

 

WEB-INF 파일 실행확인

근데 ../ 를 네게 정도하면 실행이 안되는거 같은.. 적어도 5개 이상은 해야 실행이 됨