OWASP Java

Owasp Java - Showcase Kerentanan

Proyek Java yang benar -benar cacat untuk mengajar konsep 10 - 2017 Top Top.

 DO NOT USE ANY PART OF THIS CODE IN PRODUCTION.

Memulai

Instruksi ini akan memberi Anda salinan proyek dan berjalan di mesin lokal Anda untuk tujuan pengembangan dan pengujian.

Prasyarat

Anda akan membutuhkan:

• JDK 11. Saya menggunakan versi "11.0.5" 2019-10-15 LTS.
• Server payara. Saya menggunakan Versi Payara Server 5.193.1 Penuh.
• MySQL Community Server 8. Saya menggunakan MySQL Community Server 8.0.18.
• MySQL Connector/J 8. Saya menggunakan "Platform Independent," versi 8.0.18.
• Ide Intellij. Bukan prasyarat per se, tetapi akan sulit untuk bekerja dengan proyek tanpa itu. Saya menggunakan IntelliJ Idea 2019.2.3.

JDK 11

Instal JDK, dan konfigurasikan variabel lingkungan JAVA_HOME dan PATH dengan benar. Beberapa pedoman disediakan dalam posting StackoverFlow ini.

Buka prompt perintah, dan pastikan semuanya bekerja dengan lancar:

Server komunitas mysql 8

Unzip mysql, dan pergi ke direktori bin . Jalankan perintah berikut ( tidak disarankan untuk lingkungan produksi):

 mysqld --initialize-insecure

Perintah ini menginisialisasi direktori data, dan membuat akun superuser 'root'@'localhost' dengan kata sandi kosong.

Untuk menginstal layanan pada mesin Windows, jalankan:

 mysqld --install

Akhirnya, untuk memulai layanan, jalankan:

 sc start mysql

Untuk memeriksa apakah instalasi berhasil, keluarkan perintah mysql -uroot :

Ketik exit , dan tekan Enter untuk keluar dari konsol MySQL.

Kami perlu membuat database sampel kami, dan mengisinya dengan data sampel. File SQL disebut testdb.sql. Unduh ke direktori MySQL bin , dan dari sana jalankan perintah berikut:

 mysql -uroot < testdb.sql

Jika semuanya berjalan lancar, Anda dapat mengeluarkan perintah dan melihat hasilnya seperti yang ditunjukkan di bawah ini:

Akhirnya, ubah kata sandi root menjadi 123456 , karena kata sandi kosong tidak akan diterima oleh server payara (langkah berikutnya). Perhatikan bahwa kata sandi itu sendiri, serta metode berikut untuk mengubah kata sandi, benar -benar tidak aman :

 mysqladmin --user=root password "123456"

Server payara

Unduh dan Ekstrak Server Payara, serta konektor MySQL/J. Saya mengekstraksi yang terakhir ke C:tmpmysql-connector-java-8.0.18.jar .

Pastikan Anda mengikuti instruksi untuk menginstal dan mengkonfigurasi JDK-11. Mulai Server Payara menggunakan perintah berikut:

 asadmin start-domain

Selanjutnya, instal MySQL Connector/J:

 asadmin add-library C:tmpmysql-connector-java-8.0.18.jar

Berikut ini adalah snapshot tentang bagaimana hal -hal seharusnya terlihat seperti:

Buka Payara Web Console, dan navigasikan ke Resources → JDBC → JDBC Connection Pools . Klik Buttton New .

Untuk langkah 1, isi informasi persis seperti berikut:

Untuk langkah 2, gulir ke bawah sampai Anda melihat Additional Properties :

Anda harus mengatur sifat -sifat berikut (diurutkan abjad):

• allowPublicKeyRetrieval - apakah klien diizinkan untuk secara otomatis meminta kunci publik dari server. Diatur ke true . (Tidak direkomendasikan di lingkungan produksi)
• DatabaseName - Nama database yang ingin Anda hubungkan. Dalam hal ini, testdb .
• Password : Kata sandi untuk pengguna yang ditentukan. Di sini, ini 123456 .
• ServerName : Lokasi server MySQL. Dalam hal ini localhost .
• sslMode : Apakah SSL digunakan untuk menghubungkan ke server MySQL. Atur ke DISABLED . (Tidak direkomendasikan di lingkungan produksi)
• URL dan Url : URL JDBC untuk digunakan. Di sini, atur ke jdbc:mysql://localhost:3306/testdb .
• User : Nama pengguna untuk menghubungkan ke database. Di sini, ini root .

Tekan tombol Finish . Klik kumpulan koneksi yang baru dibuat. Di tab General , klik tombol Ping . Jika semuanya berjalan dengan baik, Anda harus melihat yang berikut:

Demikian pula, buat kumpulan koneksi lain yang disebut MySQL_readonly_Pool . Langkah 1 sama dengan kumpulan koneksi sebelumnya. Untuk Langkah 2, atur Additional Properties sebagai berikut:

• allowPublicKeyRetrieval: true .
• DatabaseName: testdb .
• Password: MyVeryLongPassphrase .
• ServerName: localhost .
• sslMode: DISABLED .
• URL: jdbc:mysql://localhost:3306/testdb .
• Url: jdbc:mysql://localhost:3306/testdb .
• User: readonly .

Kita perlu mengatur sumber daya JDBC. Pergi ke Resources → JDBC → JDBC Resources , dan klik New . Isi formulir sebagai berikut:

• JNDI Name: jdbc/MySQL_root_DataSource
• Connection Pool: MySQL_root_Pool

Demikian pula, lakukan ini untuk kumpulan koneksi kedua:

• JNDI Name: jdbc/MySQL_readonly_DataSource
• Connection Pool: MySQL_readonly_Pool

Akhirnya, keluarkan perintah berikut untuk menghentikan server Payara.

 asadmin stop-domain

Ini dilakukan karena ide IntelliJ secara otomatis memulai server.

Ide Intellij

Buka proyek di Intellij Ide. Ini memberi tahu Anda bahwa Web framework is detected :

Klik Configure untuk membuka jendela Setup Frameworks . Kemudian, cukup klik OK:

Pilih Run → Edit Configurations... Buka Templates → GlassFish Server → Local . Klik Configure :

Pilih GlassFish Home . Jika dipilih dengan benar, IntelliJ akan secara otomatis mendeteksi GlassFish Version :

Klik OK . Dari kotak drop-down Server Domain , pilih domain1 .

Klik Apply . Anda sekarang memiliki templat ikan glass yang tepat yang dapat Anda gunakan di beberapa proyek. Tetapi untuk setiap proyek, Anda perlu mengkonfigurasi "artefak" yang akan dikerahkan. Untuk tujuan ini, klik + di kiri atas, dan pilih GlassFish Server → Local :

Di bagian bawah, Intellij memperingatkan Anda bahwa No artifacts configured . Cukup klik tombol Fix .

Kemudian, di jendela Artifacts , klik pada tanda + , dan pilih Web Application Exploded → From Modules

Pilih satu-satunya modul yang tersedia, yaitu, OWASP-JAVA , dan klik OK.

Klik OK untuk kembali ke Run/Debug Configurations . Di bagian bawah, Anda akan melihat satu peringatan lagi: Debug settings are invalid or not suitable for local debugging . Klik tombol Fix , dan IntelliJ akan mengurusnya untuk Anda.

Anda sekarang dapat menjalankan proyek. IntelliJ secara otomatis membuka browser default Anda, dan menavigasi ke http://localhost:8080/OWASP_Java_war_exploded/ :

Masukkan kredensial berikut:

• Nama Pengguna: kambiz
• Kata sandi: 1

Jika semuanya berfungsi dengan benar, Anda akan diarahkan ke halaman beranda pengguna:

Kalau tidak, Anda mungkin perlu melihat log glassfish, seperti yang dilaporkan oleh IntelliJ, untuk melihat apa yang salah.

Ngomong -ngomong, saya menggunakan plugin GREP Console untuk menganalisis log lebih mudah.