WebGoat是由OWASP维护的一款故意存在大量安全漏洞的Web应用程序，主要用于教学和培训。它覆盖了OWASP Top 10中常见的漏洞类型，包括SQL注入、跨站脚本、不安全的反序列化、访问控制缺陷等。与单纯阅读理论资料相比，在本地运行WebGoat可以让你通过实际操作理解漏洞的产生原因、利用方式和修复思路。Ubuntu作为服务器和开发环境中最常见的Linux发行版之一，安装和配置WebGoat的流程非常直接，适合作为搭建安全测试环境的起点。
为什么选择在Ubuntu上运行WebGoat
WebGoat是用Java开发的Web应用，官方推荐使用JDK 17来运行。Ubuntu的软件仓库中提供了OpenJDK 17，安装非常方便，不涉及复杂的编译和依赖问题。对于大多数安全学习者来说，Ubuntu的包管理器和命令行环境能够显著降低环境准备的成本。相比之下，Windows用户可能需要额外配置PATH、处理防火墙弹窗，而macOS虽然也能运行，但部分安全工具链在Linux下表现更稳定。
另一个重要原因是隔离性。WebGoat是一个故意不安全的应用，其中包含的漏洞可能会被用于攻击宿主机器或同一网络中的其他设备。把WebGoat放在Ubuntu虚拟机或者容器中运行，可以把它与宿主机、日常办公网络隔离开。即便你只在本地使用，也建议通过虚拟机或Docker来运行，这样即使操作失误导致靶机被破坏，也能快速恢复环境。Ubuntu的虚拟化生态和Docker支持都非常成熟，这让它成为搭建安全实验环境的理想平台。
此外，很多渗透测试工具，例如Burp Suite、sqlmap、nmap等，在Linux环境中运行更加顺畅。如果你后续计划在WebGoat上配合这些工具进行练习，Ubuntu能提供统一的命令行操作体验，方便你一边启动靶场，一边在终端里执行扫描或利用脚本。整个工具链的衔接会比其他桌面系统更自然。
准备Java运行环境
WebGoat的官方发布版本通常是自包含的jar包，但它仍然依赖Java运行环境。根据当前WebGoat的版本要求，一般需要安装OpenJDK 17或更高版本。你可以先通过终端检查系统是否已经安装了Java，以及当前Java的版本。如果系统里同时存在多个Java版本，可以使用update-alternatives命令切换默认版本。对于干净的Ubuntu系统，直接安装OpenJDK 17是最省心的选择。
首先更新系统软件包列表，然后安装OpenJDK 17。打开终端，执行以下命令：
sudo apt update sudo apt install openjdk-17-jdk -y java -version
安装完成后，java -version命令应该会输出类似OpenJDK 17.x的版本信息。需要注意的是，如果之前安装过更低版本的Java，例如Java 8或Java 11，WebGoat可能会因为版本不兼容而启动失败。此时可以运行sudo update-alternatives --config java来选择JDK 17作为默认版本。如果不确定系统里有哪些Java版本，可以运行ls /usr/lib/jvm命令查看已安装的JDK目录。
除了Java之外，如果你打算使用Docker方式运行WebGoat，还需要安装Docker Engine。不过使用Docker时即使没有本机Java环境也可以运行，因为WebGoat的Docker镜像内部已经包含了所需运行库。对于更习惯命令行操作并且希望快速体验的用户，Docker方式反而更加简单。两种方式会在下一节分别介绍。
获取WebGoat并启动
WebGoat的获取和启动可以分为三种方式：直接下载官方发布版jar包、使用Docker镜像、从源码构建。对于大多数学习者来说，推荐直接使用官方已经构建好的jar包，因为它省去了编译时间，并且版本经过官方测试。你可以从WebGoat的GitHub仓库发布页面下载最新稳定版本，也可以使用wget命令直接在服务器上下载。
以下示例演示了如何创建目录、下载jar包并启动WebGoat。请注意将下载链接替换为你实际使用的版本地址。
mkdir -p ~/webgoat cd ~/webgoat wget -O webgoat.jar https://github.com/WebGoat/WebGoat/releases/download/v8.2.2/webgoat-8.2.2.jar java -jar webgoat.jar
启动过程会在终端输出大量日志，首次启动可能需要几十秒来初始化数据库和加载课程内容。当看到类似Tomcat started on port 8080的日志时，说明WebGoat已经成功监听8080端口。此时不要关闭终端，否则服务会停止。如果需要后台运行，可以使用nohup命令，将输出重定向到日志文件。
如果你更习惯使用Docker，可以从Docker Hub拉取官方镜像，然后通过端口映射启动容器。WebGoat默认使用8080端口，而新版本的WebWolf组件使用9090端口。启动命令如下：
docker pull webgoat/goatandwolf docker run -p 8080:8080 -p 9090:9090 webgoat/goatandwolf
这种方式不需要在宿主机安装Java，启动和销毁都更加干净。Docker容器停止后可以直接删除容器，不会留下额外文件。对于需要频繁重建实验环境的用户来说，Docker方式有明显的优势。
如果你希望从源码构建，需要先安装Maven和Git。然后克隆WebGoat仓库，进入项目目录执行Maven打包命令。构建完成后，jar包会生成在target目录下。这种方式适合想要修改源码或者学习WebGoat内部实现的人，但对于普通使用者来说，编译时间较长且没有额外收益，因此不作为首选推荐。
访问WebGoat并完成初始配置
WebGoat启动完成后，打开浏览器访问http://127.0.0.1:8080/WebGoat。你会看到WebGoat的登录界面。第一次使用需要点击注册链接，创建一个本地账号。用户名和密码可以随意设置，但密码需要满足一定长度要求。这个账号信息只保存在本地数据库中，不会发送到任何外部服务器，因此不需要使用真实邮箱或密码。
注册并登录后，你会进入课程列表页面。左侧导航栏按照漏洞类型进行了分类，例如注入、认证、跨站脚本等。每个分类下包含多个课程，课程难度从简单到困难逐步递进。课程页面右侧通常包含一个任务面板，说明需要完成的目标，而用户需要在左侧的应用界面中实际执行攻击操作来完成题目。这种设计让学习过程更接近真实渗透测试。
WebGoat还集成了一个叫做WebWolf的工具，它通常监听在9090端口。WebWolf用于完成一些涉及邮件、文件上传和回调的课程。例如，某些跨站脚本课程需要你构造一个恶意链接，等待模拟用户点击，这时就需要通过WebWolf来模拟受害者。访问WebWolf的地址是http://127.0.0.1:9090/WebWolf。使用与WebGoat相同的账号登录即可。
需要注意的是，如果你使用Docker方式启动，并且没有正确映射9090端口，那么涉及WebWolf的课程将无法完成。建议在启动容器时同时映射8080和9090两个端口，避免后期遇到功能缺失的问题。
常见问题与故障排查
端口冲突是启动WebGoat时最常见的问题之一。如果你的Ubuntu上已经运行了其他服务占用了8080端口，WebGoat启动时会抛出端口绑定异常。可以通过sudo lsof -i :8080查看占用该端口的进程，然后根据需要停止该进程或修改WebGoat的监听端口。如果你想改变WebGoat的端口，可以在启动时通过配置参数指定，例如使用--server.port=8081参数。
sudo lsof -i :8080 java -jar webgoat.jar --server.port=8081
Java版本不匹配也是常见问题。一些用户在系统里同时安装了多个JDK版本，WebGoat启动后出现UnsupportedClassVersionError错误。这是因为编译WebGoat时使用了较新版本的Java，而当前默认Java版本过低。解决方法是使用update-alternatives将Java 17设置为默认版本，或者使用绝对路径启动。例如/usr/lib/jvm/java-17-openjdk-amd64/bin/java -jar webgoat.jar。
内存不足通常发生在低配置虚拟机中。WebGoat启动时需要加载大量课程数据，如果分配的内存过小，可能导致启动缓慢或内存溢出。可以在启动命令中添加JVM参数来增大堆内存，例如java -Xmx1024m -jar webgoat.jar。如果仍出现问题，可以检查系统可用内存，并关闭其他占用资源的程序。
另一个容易忽略的问题是代理设置。如果你的Ubuntu系统配置了HTTP代理，而WebGoat的某些请求需要访问本地资源，代理可能会干扰请求。可以检查环境变量http_proxy和https_proxy，确保本地地址在no_proxy中。对于本机访问127.0.0.1，通常不需要经过代理。如果遇到课程页面加载异常，可以尝试清空代理变量后重启WebGoat。综合来看，WebGoat在Ubuntu上的部署流程简单，只要保持Java版本正确、端口未被占用，就能很快完成搭建并开始安全实验。