B46-IDEA部署WebGoat靶场

WebGoat是OWASP推出的Java源代码审计靶场。

# 基础环境准备

1、JDK17（解压版）
低版本JDK无法运行靶场代码
下载地址：
https://msb-netdisk.mashibing.com/share/e88942622d1441bdafc74380963d0630

配置教程：
B41-Windows配置JDK9及以上版本
https://wiki.bafangwy.com/doc/607/

2、IDEA 2022.3.3——低版本IDEA与高版本JDK不兼容
（常用软件里面有）
参考：B42-IDEA安装和破解
https://wiki.bafangwy.com/doc/609/

3、Maven
用于自动下载依赖，使用aliyun源
参考：B43-IDEA配置Maven
https://wiki.bafangwy.com/doc/608/

# 1 代码下载
https://github.com/WebGoat/WebGoat/releases/

注意是下载`source code zip`这个源代码。
![](/media/202408//1722935025.9119153.png)

# 2 环境配置
使用File Open找到代码位置，打开。
![](/media/202408//1722935025.9481318.png)

Maven配置：
![](/media/202408//1722935025.96038.png)

项目设置：
![](/media/202408//1722935025.97785.png)

项目设置，选择JDK17
![](/media/202408//1722935025.9889593.png)

如果没有JDK17，则需要在Edit中添加JDK17的home路径。
![](/media/202408//1722935025.9990096.png)

Add JDK：
![](/media/202408//1722935026.020772.png)

找到JDK的位置：
![](/media/202408//1722935026.049564.png)

然后再回去Project设置。

# 3 启动项目

IDEA启动项目：
启动类在main/java/org/server/StartWebGoat.java

也可以双击Shift（打开搜索），输入StartWebGoat.java，打开
![](/media/202408//1722935026.0610855.png)

在启动类上右键运行main方法即可：
![](/media/202408//1722935026.0737212.png)

访问地址：
http://127.0.0.1:8080/WebGoat

默认端口号可以在`application-webgoat.properties`中修改：
![](/media/202408//1722935026.083972.png)

# 4 注册用户并登录

点register注册用户，比如用户名和密码都用webgoat
![](/media/202408//1722935026.1000993.png)

注册好以后会自动登录：
![](/media/202408//1722935026.112836.png)

Webwolf的登录地址（默认端口9090）：
http://127.0.0.1:9090/WebWolf/login.html

# 5 连接HSQL数据库（非必要步骤，不用做）
webgoat使用的是嵌入式数据库HSQL。此处是一个本地文件数据库，不需要启动，不用通过端口号连接。

注意：项目启动的时候，数据库被锁定，无法访问。

反过来也是一样，工具连接的时候，项目是无法启动的。
所以这里需要先把项目停掉。

## 方法1，使用IDEA连接
在IDEA的右边栏，点击Database，加号+新建DataSource
![](/media/202408//1722935026.1307461.png)

在列表中找到HSQLDB
![](/media/202408//1722935026.1403854.png)

连接信息如下：
![](/media/202408//1722935026.151119.png)

注意：Path路径是 C:\Users\用户名\.webgoat-版本号/

例如：
`jdbc:hsqldb:file:C:\Users\15542/.webgoat-2023.4//webgoat`

这两个值要以你电脑上的实际情况为准。

`/`和`\`不要写错。注意URL里面webgoat前面是`//`不是`/`

配置好连接以后可以看到所有的表：

![](/media/202408//1722935026.161295.png)

## 方法2：使用hsql jar包自带的界面连接。

首先，下载hsqldb的jar包。如果maven依赖包含hsqldb，可以直接在电脑上搜索到。

不要使用太旧的版本，比如1.8，因为低版本客户端无法连接高版本服务端。

第二步，编写一个bat脚本，内容：
`E:\dev\runApp\jdk-11.0.11\bin\java -cp hsqldb-2.7.0.jar org.hsqldb.util.DatabaseManagerSwing`

注意：JDK1.8无法启动2.7的jar包，所以我们使用绝对路径指定使用JDK11启动。

连接字符和上面相同：
`jdbc:hsqldb:file:C:\Users\15542/.webgoat-2023.4//webgoat`

![c9c3ba9b21e64168af0f0b664fe6ede7](/media/202408//1722935026.1812205.png)