WebGoat是一个平台无关的Web安全漏洞实验环境，该环境需要Apache Tomcat和JAVA开发环境的支持。它分别为Microsoft Windows和UN*X环境提供了相应的安装程序，下面我们将根据操作系统分别加以介绍。
安装Java和Tomcat
需要注意，从版本5开始，这一步可以省略，因为它们自身带有Java Development Kit和Tomcat 5.5。
首先安装Java，您可以从http://java.sun.com/downloads/安装和部署合适的版本，最低版本要求为1.4.1；
然后安装Tomcat，您可以从http://tomcat.apache.org/download-55.cgi安装和部署Tomcat。
安装到Windows系统
1.将WebGoat-OWASP_Standard-5.2.zip解压至合适的目录中。
2.若要启动Tomcat，切换至前面存放解压后的WebGoat的目录，然后双击webgoat.bat即可。
3.启动浏览器，5.2版本，在地址栏输入：http://localhost/WebGoat/attack
5.3版本，在地址栏输入：http://localhost/webgoat/attack
注意，这个链接地址是区分大小写的，务必确保其中使用的是大写字母W和G。
安装到Linux系统
1.将WebGoat-OWASP_Standard-x.x.zip解压至您的工作目录。
2.将webgoat.sh文件中的第17、19和23行中的“1.5”改为“1.6”。
3.因为最新版本运行在一个特权端口上，所以您需要使用下列命令来启/停WebGoat Tomcat：
(1). 当作为root用户运行在80端口时，使用：
sudo sh webgoat.sh start80
sudo sh webgoat.sh stop
(2). 当运行在8080端口时，使用：
sh webgoat.sh start8080
sh webgoat.sh stop
安装至OS X（Tiger 10.4+）系统
1.将WebGoat-OWASP_Standard-x.x.zip解压至您的工作目录。
2.将webgoat.sh文件中的第10行中的“1.5”改为“1.6”。
3.因为最新版本运行在一个特权端口上，所以您需要使用下列命令来启/停WebGoat Tomcat：
(1).当作为root用户运行在80端口时，使用：
sudo sh webgoat.sh start80
sudo sh webgoat.sh stop
(2). 当运行在8080端口时，使用：
sh webgoat.sh start8080
sh webgoat.sh stop
安装至FreeBSD系统
1.使用下面的命令来安装Tomcat和Java ：
cd /usr/ports/www/tomcat55
sudo make install
2. 安装Java JDK的时候，可能需要手工方式进行下载，届时系统会给出详细的提示。
3. 将WebGoat-OWASP_Standard-x.x.zip解压至您的工作目录。
4. 将webgoat.sh文件中的第17、19和23行中的“1.5”改为“1.6”。
5. 因为最新版本运行在一个特权端口上，所以您需要使用下列命令来启/停WebGoat Tomcat：
(1).当作为root用户运行在80端口时，使用：
sudo sh webgoat.sh start80
sudo sh webgoat.sh start80
sudo sh webgoat.sh stop
(2). 当运行在8080端口时，使用：
sh webgoat.sh start8080
sh webgoat.sh stop
运行方法
1. 启动浏览器，并在地址栏输入http://localhost/WebGoat/attack，注意这里使用的大写的字母W和G。
2. 登录时，用户帐号使用guest，密码为guest。
PS：
1、建议使用8080端口，以免冲突；
2、如果安装后地址栏输入http://localhost/WebGoat/attack无法打开，可输入地址栏输入http://localhost/WebGoat/进行登录 会自行跳转