OWASP安全练习靶场juice shop-更新中

Juice Shop是用Node.js，Express和Angular编写的。这是第一个完全用 JavaScript 编写的应用程序，列在 OWASP VWA 目录中。

该应用程序包含大量不同的黑客挑战用户应该利用底层的困难漏洞。黑客攻击进度在记分板上跟踪。找到这个记分牌实际上是（简单的）挑战之一！

除了黑客和意识培训用例外，渗透测试代理或安全扫描程序可以将 Juice Shop 用作“几内亚” pig“-应用程序来检查他们的工具如何应对 JavaScript 密集型应用程序前端和 REST API。

部署

docker pull bkimminich/juice-shop

docker run --rm -p 3000:3000 bkimminich/juice-shop

需要挖掘的漏洞内容寻找记分牌：： Pwning OWASP Juice Shop (owasp-juice.shop)

访问ip:3000，打开后先注册一个用户，否则功能无法操作。

前记：

这个靶场的难点在于，只给出问题，范围在整个系统，需要去找题的答案在哪个功能上。

查找记分牌

没有直接给出记分牌页面，需要找出url。

search的地址为 http://ip:3000/#/search

刷新搜索看到某个接口返回内容

猜测url为 http://ip:3000/#/score-board

访问后显示了记分牌页面

访问后会显示成功找到

挑战通过后，点击后面的按钮运行coding challenge，如找到记分牌这个任务，勾选记分牌相关的几行代码，点击submit，两侧会显示烟花效果，说明通过。

Broken Access Control

Authorization - OWASP Cheat Sheet Series

Forged Feedback

要求用其他用户的username提交评价。

抓包，修改connect发送未解决。随便修改一下userId，解决。

View Basket

要求查看其他人的购物车

解决：抓包，修改id为7请求解决，这个题像不安全对象引用。

Zero Stars

要求给商店做零星评价，选择左侧contact模块的customer feedback功能，发现页面只能选择1-5

解决：抓包，篡改请求设置rating为0 后发送，绕过UI

XSS

DOM XSS

在搜索框输入 <iframe src="javascript:alert(`xss`)">回车，会显示一个alert

不合适的输入验证

Bonus Payload

商品搜索框输入如下代码回车成功

<iframe width="100%" height="166" scrolling="no" frameborder="no" allow="autoplay" src="https://w.soundcloud.com/player/?url=https%3A//api.soundcloud.com/tracks/771984076&color=%23ff5500&auto_play=true&hide_related=false&show_comments=true&show_user=true&show_reposts=false&show_teaser=true"></iframe>