Webgoat之Improper Error Handing

Fail Open Authentication Scheme

这节讲不当的错误处理。打开认证失败。Java代码中异常处理部分为成功认证行为进行异常捕获。该异常产生是因为密码字段使用了空指针。

打开是这样的页面：

它要求我们输入用户名密码登陆，其中用户名是“webgoat”，他已经给我们了，重要的是猜对他的密码。

我们可以浏览器打开代理之后，用burpsuit抓到请求之后，直接删除password字段，提交给服务器，这时服务器会报错，因为password是空指针，进入错误处理流程，由于它处理不当，我们就可以登录了。

这又是一个绕过登录的方法。

【版权声明】
本文首发于戚名钰的博客，欢迎转载，但是必须保留本文的署名戚名钰（包含链接）。如您有任何商业合作或者授权方面的协商，请给我留言：qimingyu.security@foxmail.com
欢迎关注我的微信公众号：科技锐新