Eh bien oui, il faut le voir pour le croire mais il y a bien quelques bugs dans la version 5.2 de Webgoat. Webgoat ne fait pas exception à la règle! Dans les développements de sites web il y a des bugs qui parfois échappent à la validation et qui peuvent devenir des vulnérabilités exploitables par des personnes mal intentionnées. Mais heureusement nous ne sommes pas dans ce cadre, Webgoat est fait pour être faillible! Ouf! L’honneur est sauf!
L'objectif de cet article est simplement de vous montrer qu'il est possible de modifier le code de Webgoat. Vous avez toujours la possibilité de récupérer Webgoat 5.3 si vous le souhaitez.
On peut trouver tous les bugs de Webgoat à l’URL suivante: http://code.google.com/p/webgoat/issues/list
Mais puisque nous disposons du code source et d’Eclipse (voir “Modifier le code source de Webgoat, c’est possible!”), nous n’allons pas nous priver du plaisir de faire les corrections.
Bug 1 dans la leçon DOM injection de Ajax Security(référence 28)
Dans le code source de la page, on trouve:
<input name='key' value='' type='TEXT' onkeyup='validate();' >
Or plus loin on trouve:
var keyField = document.getElementById('key');
Il n’y a pas de paramètre “id” avec la valeur ‘key’ mais un paramètre “name”, il est donc nécessaire d’ajouter le paramètre “id” et de lui donner la valeur ‘key’
Dans la méthode Element createContent(WebSession s) de la classe org.owasp.webgoat.lessons.DOMInjection (fichier DOMInjection.java), on ajoute donc la ligne ci-dessous qui permet d’ajouter un tag “id” et de lui donner la valeur ‘key’:
Input input1 = new Input(Input.TEXT, KEY, "");
input1.addAttribute("onkeyup", "validate();");
// Fix
input1.setID(KEY);
tr.addElement(new TD(input1));
t1.addElement(tr);
Bug 2 dans la leçon DOM injection de Ajax Security(référence 32)
Dans le code source de la page on trouve:
var result = req.responseXML.getElementsByTagName('reward');
Mais la valeur req.responseXML est nulle lors de l’exécution avec Firebug
Par ailleurs on peut observer que la variable result n’est pas utilisée.
Pour résoudre notre problème on peut donc simplement commenter la ligne dans la méthode Element createContent(WebSession s) de la classe org.owasp.webgoat.lessons.DOMInjection (fichier DOMInjection.java)
Environnement de développement
Lorsque vous sauvegardez une modification dans Eclipse, le “build” est automatiquement lancé et le serveur est mis à jour (cf. Project/Build automatically).
Il ne reste alors qu’à recharger la page dans le browser et votre correction est immédiatement prise en compte.
Etonnant non!
Tags:
