Webug 4.0漏洞靶场安装与使用教程

一、Webug简介

Webug名称定义为"我们的漏洞"靶场环境，是由226安全团队开发的国产漏洞靶场系统。

版本特点：

• 基础环境基于PHP/mysql制作搭建
• 中级环境与高级环境分别由互联网漏洞事件收集的漏洞操作环境构成
• 部分漏洞基于Windows操作系统漏洞
• Web环境安装在纯净版Windows 2003虚拟机中

版本历史：

• Webug 3.0发布400多天后
• 4.0版本于2019年春节初二发布

二、包含的漏洞环境

Webug 4.0包含以下丰富的漏洞环境：

Web应用漏洞

• 注入类漏洞：

  • GET注入
  • x-forwarded-for注入
  • 延时注入
  • DZ7.2论坛SQL注入
  • aspcms注入
  • 齐博系统SQL注入
  • ecshop注入
  • ShopXp系统SQL注射漏洞
  • Dcore(轻型CMS系统)注入漏洞
  • ourphp注入
  • BEESCMS SQL注入
  • DedeCMS flink.php友情链接注入
  • DedeCms recommend.php注入

• 文件相关漏洞：

  • GET任意文件下载
  • POST任意文件下载
  • 无验证上传
  • 校验扩展名上传
  • 文件包含
  • POST文件包含
  • phpmyadmin任意文件包含漏洞
  • MetInfo任意文件包含漏洞可getshell

• XSS漏洞：

  • 反射型XSS
  • 存储型XSS
  • DZ 3.2存储型XSS

• 其他Web漏洞：

  • 图片破解
  • 暴力破解练习
  • 支付漏洞
  • 垂直越权
  • CSRF
  • url跳转
  • 验证来源去向的url跳转
  • HOST注入
  • APK破解
  • php截断利用
  • phpwind命令执行漏洞
  • Metinfo任意用户密码修改

系统级漏洞

• 远程命令执行：

  • st2-016
  • jboss命令执行
  • hfs远程命令执行
  • st2-052命令执行
  • flash远程命令执行
  • gh0st远程溢出
  • IIS6.0远程溢出

• Windows系统漏洞：

  • 虚拟机为纯净版Windows 2003系统，无任何补丁
  • 包含所有Windows 2003漏洞：
    • ms08-067
    • ms17-010
    • ms15-015等

三、安装步骤

1. 下载Webug 4.0

• 官网下载地址：www.webug.org
• Webug 4.0的web环境装在纯净版Windows 2003虚拟机中

2. 准备环境

• 安装虚拟机软件VMware Workstation Pro
• 解压下载好的webug4.0压缩包

3. 启动虚拟机

1. 打开VMware Workstation Pro
2. 点击"Windows Server 2003 Enterprise Edition"虚拟机文件
3. 点击"开启此虚拟机"
4. 可根据需要调整虚拟机内存和CPU设置（默认配置可能较卡）

4. 登录系统

• 默认密码为空，直接登录即可

5. 启动Web环境

1. 启动phpstudy（集成环境）
2. 按Win+R打开运行对话框
3. 输入"cmd"打开命令提示符
4. 输入"ipconfig"查看虚拟机IP地址

6. 访问Webug

• 在本地浏览器访问查看到的IP（如示例中的192.168.19.135）
• 默认管理账号：admin
• 默认管理密码：admin

四、使用建议

Webug作为优秀的国产漏洞靶场，非常适合：

• 网络安全初学者学习
• 安全研究人员练习漏洞利用技术
• 渗透测试人员提升实战能力

注意事项：

• 该环境包含真实漏洞，请在可控环境中使用
• 不要将带有漏洞的虚拟机暴露在公共网络中
• 使用完毕后及时关闭虚拟机

五、后记

Webug由226安全团队开发，本文由黑白天--李国聪撰写，发布于FreeBuf网络安全门户。Webug 4.0作为新年礼物发布，是网络安全学习者不可多得的训练环境。