一個很好的Web漏洞靶機系統(tǒng)

show0p · 發(fā)表于 2018-10-9 14:07:13

一個好玩的Web漏洞靶機系統(tǒng)之前，有個人對我說 “如果你想搞懂一個漏洞，比較好的方法是：你可以自己先制造出這個漏洞，然后再利用它，最后再修復它”。
我說：好的。之后，我每學習一個漏洞，都自己用代碼先把它“制造”出來，搞著搞著就搞出一個“pikachu”。
Pikachu

Pikachu是一個帶有漏洞的Web應(yīng)用系統(tǒng)，在這里包含了常見的web安全漏洞。如果你是一個Web滲透測試學習人員且正發(fā)愁沒有合適的靶場進行練習，那么Pikachu可能正合你意。

Pikachu上的漏洞類型列表如下：

-Burt Force(暴力破解漏洞)
-XSS(跨站腳本漏洞)
-CSRF(跨站請求偽造)
-SQL-Inject(SQL注入漏洞)
-RCE(遠程命令/代碼執(zhí)行)
-Files Inclusion(文件包含漏洞)
-Unsafe file downloads(不安全的文件下載)
-Unsafe file uploads(不安全的文件上傳)
-Over Permisson(越權(quán)漏洞)
-../../../(目錄遍歷)
-I can see your ABC(敏感信息泄露)
-PHP反序列化漏洞
-XXE(XML External Entity attack)
-不安全的URL重定向
-SSRF(Server-Side Request Forgery)
-管理工具
-More...(找找看?..有彩蛋!)

管理工具里面提供了一個簡易的xss管理后臺,以方便你搞xss時測試釣魚和撈cookie~
后續(xù)有時間會持續(xù)更新一些新的漏洞進來，每類漏洞根據(jù)不同的情況又分別設(shè)計了不同的子類
同時,為了讓這些漏洞變的有意思一些,在Pikachu平臺上為每個漏洞都設(shè)計了一些小的場景,你們自己玩的時候可能會發(fā)現(xiàn)，點擊漏洞頁面右上角的"提示"可以查看到部分提示信息。
如何安裝和使用
Pikachu使用世界上最好的語言PHP進行開發(fā)-_-
數(shù)據(jù)庫使用的是mysql，因此運行Pikachu你需要提前安裝好"PHP+MYSQL+中間件（如apache,nginx等）"的基礎(chǔ)環(huán)境，建議在你的測試環(huán)境直接使用一些集成軟件來搭建這些基礎(chǔ)環(huán)境,比如XAMPP,WAMP等,作為一個搞安全的人,這些東西對你來說應(yīng)該不是什么難事。接下來:
-->把下載下來的pikachu文件夾放到web服務(wù)器根目錄下;
-->根據(jù)實際情況修改inc/config.inc.php里面的數(shù)據(jù)庫連接配置;
-->訪問h ttp://x.x.x.x/pikachu,會有一個紅色的熱情提示"歡迎使用,pikachu還沒有初始化，點擊進行初始化安裝!",點擊即可完成安裝

這個世界太浮躁，我想，春會來，你期待的花會兒總會開，請切記 "少就是多,慢就是快".

pikachu截圖：
[attach]1492[/attach]

購買主題 已有 6 人購買 本主題需向作者支付 10 資源幣 才能瀏覽

Vanessa · 發(fā)表于 2018-10-9 17:03:52

大佬

Alan · 發(fā)表于 2018-10-9 19:29:20

我發(fā)現(xiàn)我一天也離不開資源共享吧了！

方得 · 發(fā)表于 2018-10-9 21:01:50

頂樓主啦..希望樓主多發(fā)精品好帖啦.....

Jacob · 發(fā)表于 2018-10-9 21:43:00

看看

wentian · 發(fā)表于 2018-10-10 00:34:40

樓主，大恩不言謝了！

jxh688 · 發(fā)表于 2018-10-10 08:58:32

紅馬栽苛大哥大棋

余新手 · 發(fā)表于 2018-10-10 13:22:02

RE: 一個很好的Web漏洞靶機系統(tǒng) [修改]

viser · 發(fā)表于 2018-10-10 20:03:55

666666

藍藍的天空 · 發(fā)表于 2018-10-10 21:46:53

6666666666666666666666

		自動登錄	找回密碼
密碼			注冊成為正式會員

[『滲透安全』] 一個很好的Web漏洞靶機系統(tǒng)

終身VIP會員