我在哪里可以找到一个故意不安全的开源web应用程序？

Question

作为一名开发人员，我了解到我通常通过经验对最佳/最差实践有了更好的理解。web应用程序安全领域并不是我的组织能够通过试验和错误来让开发人员学习的地方。

因此，在寻找web应用程序安全最佳实践知识共享的实践方法时，我认为让一个故意构建为不安全的开源应用程序来帮助初级开发人员了解应用程序安全将是很有用的。

有没有人知道在哪里能找到这样的东西？

Answer 1

有在线(黑客挑战/练习/乐趣)和离线(你有源代码)应用程序：

离线:

• OWASP Webgoat
• Foundstone Hackme Series Travel
• Hackme Books

• Hackme Casino
• Hackme Bank

​

• WebMaven
• SecuriBench
• You可以下载旧的易受攻击的已知CMS的VmWare图像，或者直接从存储库下载它们(尝试sourceforge或官方旧版本并从Securityfocus BID查找漏洞)

Online

更切合实际的演示

• http://zero.webappsecurity.com
• http://crackme.cenzic.com
• http://testphp.acunetix.com
• http://testasp.acunetix.com
• http://testaspnet.acunetix.com
• http://hackme.ntobjectives.com

这是我从某个地方拿到的一个旧列表，其中一些现在可能已经下来了。

挑战排序示例

• http://hackergames.net/
• http://www.hackthissite.org
• http://www.ngsec.com
• http://www.try2hack.nl
• http://www.hackerslab.org
• http://www.slyfx.com
• http://www.mod-x.co.uk
• http://hackme.elderson.net
• http://mindlock.bestweb.net/join.php
• http://www.cyberarmy.com/zebulun/
• http://www.roothack.org/
• http://hack.datafort.net/
• http://hacknull.com/
• http://wargames.unix.se/
• http://www.osix.net/
• http://www.h4ckerx.ne
• http://www.bright-shadows.net/
• http://www.0penhack.com/
• http://scifi.pages.at/hackits/
• http://lightning.prohosting.com/~thegame/
• http://www.hackquest.de/
• http://www.hack4u.nl
• http://hackergames.net/
• http://bigcontest.securityhack.net
• http://www.hackerss.com
• http://www.izhal.com
• http://www.boinasnegras.com
• http://ambience.digitalshell.net/~llamatron/
• http://www.blind-dice.com
• http://www.arcanum.co.nz
• http://www.ralf-mengwasser.de
• http://www.cyberarmy.com
• http://hackme.elderson.net
• http://www.slyfx.com
• http://lightning.prohosting.com/thegame
• http://digitalparadox.org
• http://www.learntohack.org
• http://x-avier.com
• http://m4tr1x.wsn.at
• http://www.hdcwargame.com
• http://vortex.labs.pulltheplug.com

Answer 2

查看WebGoat。这是一个充斥着OWASP列表中的漏洞的应用程序，旨在为web应用程序开发人员提供学习资源。该应用程序是一个教程，它引导开发人员了解它包含的漏洞，并对每一课进行测试。

Answer 3

您可能想尝试一下https://hack.me

它是一个社区驱动的项目，托管和共享各种易受攻击的web应用程序。您可以在新的沙箱中安全地运行它们，而无需下载/配置任何服务器。

我是这个项目的创始人，但由于它是一个完全免费的项目，我认为除了上面提到的其他很棒的资源之外，这一点也是值得一提的。