我在哪里可以找到故意不安全的开源 Web 应用程序？ [关闭]答案

【问题标题】：Where can I find a deliberately insecure open source web application? [closed]我在哪里可以找到故意不安全的开源 Web 应用程序？ [关闭]
【发布时间】：2010-09-26 18:58:04
【问题描述】：

作为一名开发人员，我了解到我通常会通过经验更好地了解最佳/最差做法。 Web 应用程序安全领域并不是我的组织真正有能力让开发人员通过反复试验学习的地方。

因此，我正在寻找一种实践方法来分享 Web 应用程序安全最佳实践的知识，我认为拥有一个故意构建为不安全的开源应用程序以帮助教授初级开发人员会很有用关于应用程序的安全性。

有没有人知道在哪里可以找到这样的东西？

【问题讨论】：

标签： security web-applications open-source

【解决方案1】：

有一个 OWASP 项目只是为了记录所有已知的易受攻击的 Web 应用程序：https://www.owasp.org/index.php/OWASP_Vulnerable_Web_Applications_Directory_Project

【讨论】：

【解决方案2】：

你可能想试试https://hack.me

这是一个社区驱动的项目，托管和共享各种易受攻击的 Web 应用程序。您可以在新的沙箱中安全地运行它们，而无需下载/配置任何服务器。

我是项目的创始人，但由于它是一个完全免费的项目，我认为除了提到的其他大量资源之外，这也是值得一说的。

【讨论】：

【解决方案3】：

您还可以使用 SQLol 练习各种风格的 SQL 注入，使用 XMLmao 练习 XML 注入 /xPath 注入。

【讨论】：

【解决方案4】：

还有……该死的易受攻击的 Web 应用程序 (DVWA)……

这里...dvwa.co.uk

【讨论】：

dvwa.co.uk（链接已关闭，没有“www.”）

【解决方案5】：

有在线（黑客挑战/练习/乐趣）和离线（你有源代码）应用程序：

离线：

OWASP Webgoat
Foundstone Hackme Series
- Hackme 银行
- Hackme Travel
- Hackme 赌场
- Hackme 书籍
WebMaven
SecuriBench
您可以下载旧的易受攻击的已知 CMS 的 VmWare 映像，或者只从存储库下载它们（尝试 sourceforge 或官方旧版本并从 Securityfocus BID 查找漏洞）

在线

更真实的演示

这是我从某个地方抓到的旧列表，其中一些现在可以下来了。

挑战类的例子

【讨论】：

【解决方案6】：

查看WebGoat。这是一个充满来自OWASP 列表的漏洞的应用程序，旨在作为 Web 应用程序开发人员的学习资源。该应用程序是一个教程，引导开发人员了解其中包含的漏洞，并针对每节课进行测试。

【讨论】：

【解决方案7】：

我想起了this OSCON talk，尽管它可能过于具体，无法满足您的需求。

【讨论】：

【解决方案8】：

有一个网站是为了不安全而建立的，目的是破解它。我不记得它的名字了。 ~~我正在四处寻找它。找到后会进行编辑。~~

找到它：名字是hackthissite.org。

【讨论】：

也感谢您提供此链接！我刚刚意识到我已经在我的书签列表中找到了它，标记为要探索的东西，但实际上从来没有这样做过！（我想我知道我接下来的几个周末要去哪里 :-)）