我们可以使用各种方法/方法作为执行攻击的参考.
在开发攻击模型时，可以考虑以下标准.
在以下列表中，OWASP是最活跃的，并且有许多贡献者.我们将专注于OWASP技术，每个开发团队在设计Web应用程序之前都会考虑这些技术.
PTES渗透测试执行标准
OSSTMM开源安全测试方法手册
OWASP测试技术打开Web应用程序安全协议
Open Web Application安全协议团队发布了近年来在网络上更为普遍的十大漏洞.以下是在基于Web的应用程序中更为普遍的安全漏洞列表.
为了理解每种技术，让我们使用示例应用程序.我们将对'WebGoat'进行攻击，这是一个明确开发的J2EE应用程序，具有用于学习目的的安全漏洞.
关于webgoat项目的完整详细信息可以找到 https://www.owasp.org/index.php/Category:OWASP_WebGoat_Project .要下载WebGoat应用程序，请导航到 https://github.com/WebGoat/WebGoat/wiki/Installation-(WebGoat-6.0)和转到下载部分.
要安装下载的应用程序，首先要确保没有在端口8080上运行任何应用程序它只需使用一个命令即可安装 - java -jar WebGoat-6.0.1-war-exec.jar.有关详细信息，请访问 WebGoat安装
安装后，我们应该可以通过导航到 http://localhost:8080/WebGoat/attack 来访问应用程序，页面将显示如下所示.
我们可以使用登录页面中显示的来宾或管理员凭据.
为了拦截客户端(浏览器)和服务器(我们的案例中托管Webgoat应用程序的系统)之间的流量，我们需要使用网络代理.我们将使用可以从 https://portswigger.net/burp/download.html
如果你下载免费版的burp套件就足够了，如下所示.
Burp Suite是一个Web代理，可以拦截浏览器和Web服务器发送和接收的每个信息包.这有助于我们在客户端将信息发送到Web服务器之前修改内容.
第1步应用程序安装在端口8080上，Burp安装在端口8181上，如下所示.启动Burp套件并进行以下设置，以便在端口8181中显示它，如下所示.
第2步我们应该确保Burp正在监听安装了应用程序的端口＃8080，以便Burp套件可以拦截流量.此设置应在Burp Suite的范围选项卡上完成，如下所示.
第3步然后进行浏览器代理设置以收听端口8181(Burp Suite端口).因此，我们将Web代理配置为拦截客户端(浏览器)和服务器(Webserver)之间的流量，如下所示
第4步下面显示了配置的快照，并提供了一个简单的工作流程图，如下所示
