小迪安全21WEB 攻防-JavaWeb 项目&JWT 身份攻击&组件安全&访问控制

#知识点：

1、JavaWeb 常见安全及代码逻辑

2、目录遍历&身份验证&逻辑&JWT

3、访问控制&安全组件&越权&三方组件

---

Java：大部分都是第三方插件出现漏洞

webgoat的搭建：——java靶场

JDK版本要求：11.0以上

需先启动webgoat-server：java -jar webgoat-server-8.1.0.jar --server.port=8080

然后访问http://127.0.0.1:8080/WebGoat，进行登录/创建

账号：atwood

Pw：123456

---

通过路径注入进行说明

本题只：需上传图片，路径需要再指定的路径下

通过直接上传，得知，上传的文件位置

通过bp进行抓包

通过对应的url中的地址，找到对应的文件

.jar:也是一个封装模式

通过反编译，可以获得从中的文件

先看文件中的配置文件