WattzGOAT Vibe 项目

WattzGOAT 是一个刻意写满漏洞的开源 Web 应用，专为安全学习者打造。整站模拟一家虚构的智能电表公司门户：客户可以查电表、充值余额、上报光伏发电、查看账单、联系客服；管理员可以管理电表、处理工单。最有意思的是它把 AI 助手本身也做成了一类攻击面——48 个隐藏漏洞里有 5 个专门针对模拟 AI 助手。

核心功能

• 完整的客户门户：注册、电表仪表盘、充值、光伏上网、账单、工单中心，外加一个管理员后台，攻击面足够丰富，不是单表单的"Hello 漏洞"。
• 48 个隐藏弱点：覆盖 OWASP Top 10 常见类别——越权、注入、认证缺陷、会话问题等，按难度从易到难分布。
• CTF 式进度追踪：找到漏洞就能拿到 Flag，所有 Flag 在进度页统一管理，闯关节奏清晰。
• AI 助手专项关卡：5 个 Bonus Flag 专门针对模拟 AI 助手的提示注入、越权、敏感信息泄露等问题，呼应 2026 年的新型 AI 攻击面。
• 对照式漏洞代码：找到 Flag 后能直接看到「漏洞版 vs 修复版」并排对比，提供 Python/JavaScript/PHP 三语实现并标注变更行。
• 可选引导模式：按页面给提示但不剧透答案，方便新手循序渐进。

技术实现

项目由安全社区的 WattzGOAT 团队用 AI 辅助开发（README 明确披露"built with the help of AI tools, contains AI-written code"）。整个站点被打包成单个 Docker 镜像对外分发，HTTPS 与 HTTP 两端口（5000/5001）一站式暴露，数据库与应用都跑在同一容器内，便于本地或内网部署。架构采用分层 Web 服务 + 内置 SQLite/关系数据库的可移植方案，漏洞页面用贴近真实业务场景的视图层（电表、账单、客服工单）触发，而非最小化 demo。前后端细节覆盖登录态、CSRF、文件上传、SSRF 等真实漏洞的常见路径，因此练习成果可直接迁移到真实 Web 项目中。

快速上手

1. 准备一台装好 Docker 的 Windows / macOS / Linux 机器。
2. 一行启动命令：

   docker run -d --name wattzgoat -p 5000:5000 -p 5001:5001 
     -e INSTANCE_HOST=127.0.0.1 -e STANDALONE=true 
     -e STANDALONE_PASSWORD=YourPasswordHere 
     ghcr.io/wattzgoat/wattzgoat-web:latest

3. 浏览器打开 https://127.0.0.1:5000，用示例账号（如 alice.smith@example.com，密码 alice123）登录。
4. 在 Progress 页查看已找到的 Flag，每条 Flag 解锁后会展示"漏洞代码 vs 修复代码"对照。
5. 教师/培训机构可启用 Instructor Mode，启动独立教练面板跟踪学员进度。

适用人群

• 安全学习者与白帽：想要真实练习 OWASP Top 10 而非读 CTFwriteup 的同学。
• AI 安全研究者：想了解提示注入、AI 助手越权等新型攻击模式的从业者。
• 企业安全培训负责人：希望为团队提供统一、可重复使用的演练靶场。
• 高校网络安全课程教师：可作为课程的随堂实验平台，配合 Instructor Mode 跟踪学生完成情况。

适用人群与警示

WattzGOAT 故意写得不安全，仅可在自有电脑或可控的内网环境运行，绝不要放到公网，不要输入真实密码或个人数据。所有公司名、账号、示例数据均为虚构。

官方链接

• GitHub 仓库：https://github.com/wattzgoat/wattzgoat-web
• 容器镜像：ghcr.io/wattzgoat/wattzgoat-web:latest