Appweb简介
Appweb是一个嵌入式HTTP Web服务器，主要的设计思路是安全。
这是直接集成到客户的应用和设备，便于开发和部署基于Web的应用程序和设备。
它迅速（ 每秒处理3500多要求）而紧凑 ，其中包括支持动态网页制作，服务器端嵌入式脚本过程中的CGI ，
可加载模块的SSL ，摘要式身份验证，虚拟主机， Apache样式配置，日志记录，单和多线程应用程序。它提供了大量的文档和示例。
AppWeb是Embedthis Software LLC公司负责开发维护的一个基于GPL开源协议的嵌入式Web Server。
他使用C/C++来编写，能够运行在几乎先进所有流行的操作系统上。当然他最主要的应用场景还是为嵌入式设备提供Web Application容器。
AppWeb可以进行认证配置，其认证方式包括以下三种：
- basic 传统HTTP基础认证
- digest 改进版HTTP基础认证，认证成功后将使用Cookie来保存状态，而不用再传递Authorization头
- form 表单认证
漏洞原理
其7.0.3之前的版本中，对于digest和form两种认证方式，
如果用户传入的密码为null（也就是没有传递密码参数），appweb将因为一个逻辑错误导致直接认证成功，并返回session。
漏洞影响范围
Appweb 7.0.2及早期版本。
漏洞复现
1、开启docker vulhub靶场环境
2、访问目标。
3、获取用户名，这个就显现出此漏洞的局限性了。靶场里告诉了有一个账户是joshua
4、通过抓包软件拦截，添加以下HTTP 头信息后，发送数据包。
Authorization: Digest username=admin
5、返回状态码为200后，获取HTTP 头信息中的session
6、通过抓包软件拦截，发送POST请求，添加session到HTTP 头信息和用户名后，发送数据包。如下图所示
7、返回状态码为200，成功绕过身份验证