Webgoat靶场调试环境配置

0x01 简介

选择IDEA作为源码调试工具，Webgoat作为漏洞分析的靶场。将项目源码下载到本地，使用IDEA调试模式编译运行Webgoat。

0x02 IEAD汉化配置

在安装好IDEA后，可使用插件进行汉化，提高后续的调试效率。在File-Setting-Plugins中搜索Chinese插件安装：

加载插件进行使用：

安装完成后重启软件，界面汉化成功：

0x03 WebGoat配置

配置源码WebGoat-develop，用IDEA2021.2来导入项目(2021.2选择文件夹打开，然后手动配置；2019.3.2中可以选择导入项目自动配置。)，mavn会自动下载依赖启动：

mavn仓库默认在海外，配置文件默认位置在C:\Users\<用户名>\.m2wrapper\dists\中，在setting.xml中配置国内阿里云加速仓库地址：

  <mirrors>
    <mirror>
        <id>alimaven</id>
        <name>aliyun maven</name>
<url>http://maven.aliyun.com/nexus/content/groups/public/</url>
        <mirrorOf>central</mirrorOf>
    </mirror>
    <mirror>
        <id>repo2</id>
        <name>repo2 maven</name>
        <url>http://repo2.maven.org/maven2</url>
        <mirrorOf>central</mirrorOf>
    </mirror>
  </mirrors>

这个过程中可能会遇到包已经在仓库中存在但是mvn依赖报红，可以尝试关闭项目后，重新导入项目。最终效果：

0x04 JDK和热重载配置

WebGoat需要使用JDK15来运行，在菜单”文件”-“项目结构”-“JDK”中配置版本为JDK15:

然后在左上角🔨图标配置菜单里选择编辑项目配置,添加一个Spring Boot配置，名称为StartWebGoat，主类org.owasp.webgoat.StartWebGoat，这一步可能输入了主类会报错，提示找不到main函数，要等idea扫描一下类，然后就自己好了:

同样配置webwolf(用来验证一些请求的服务，如SSRF之类的)，下面记得设置下更新操作,用来在代码中增加语句后热重载:

点击调试按钮，访问本地8080，程序已经运行起来了:

然后在src/main/java/org/owasp/webgoat/users/UserService.java中用户名检查断点，浏览器中登录，可以看到成功命中:

再试试热重载，加入一条打印语句，然后重载类:

已经输出了调试语句:

0x04 Burp抓包配置

Webgoat为了安全只会在本地127.0.0.1开启靶场服务，使用burp抓包的时，在Google中没法对127.0.0.1抓包。可以使用Firefox设置本地代理，在地址栏输入about:config，然后搜索network.proxy.allow_hijacking_localhost，设置为True：

然后就可以在Burp中拦截数据包了：

0x05 源码打包

有时候可能有对源码进行修改后重新打包为JAR进行部署的需求，但是对源码进行 mvn clean install时会出现各种报错，如：
1.JDK版本错误

No compiler is provided in this environment. Perhaps you are running on a JRE rather than a JDK?

这是由于没有用正确的JDK版本构建出现的错误，可在cmd中设置正确的jdk位置，如set JAVA_HOME=D:\Program Files\JAVA\jdk-15，然后再执行mvn clean install。

2.UTF-8 序列的字节 1 无效

Failures:
[ERROR]   ContentTypeAssignmentTest.workingAttack:74 JSON path "$.feedback"
Expected: is "Congratulations. You have successfully completed the assignment."
     but: was "You are posting XML but there is no XXE attack performed"

在测试模式中这个问题一直出现，也有相关的issues，关注后续的官方解决方案。因为这里是测试模式中的问题，所以可以在构建时跳过测试来绕过该问题：

// 跳过单元测试，但是会继续编译
mvn clean install -DskipTests 
//不执行测试用例，也不编译测试用例类
mvn clean install -Dmaven.test.skip=true 

在IEDA中点击下图标即可跳过测试和联网更新(更新包非常慢，所以可以设置为脱机模式)：

编译完成后的JAR包生成在目录webgoat-server/target中，使用 "D:\Program Files\JAVA\jdk-15\bin\java" -Dfile.encoding=UTF-8 -jar webgoat-server-8.2.1-SNAPSHOT.jar 启动：

0x06 参考链接

https://github.com/WebGoat/WebGoat
https://owasp.org/www-project-webgoat/
https://blog.csdn.net/Decline1/article/details/111591085