WSAR Tech授权本地靶场安全测试
在本地 OWASP Juice Shop 实例上进行授权安全测试的练习作品集——按 OWASP Top 10 类别做高层归纳。
范围与定位
仅限授权的本地靶场。 本页全部内容均来自一个"故意留洞"的练习应用——OWASP Juice Shop，由研究者在自有机器上以 Docker 运行，并仅绑定 localhost（127.0.0.1）。这是一份练习 / 培训作品集。它不是对任何第三方、生产或外部系统的扫描或测试记录，也没有触碰任何不属于研究者本人的系统。本页不构成任何"提升搜索排名""保证效果"或"什么都能黑"的承诺。另外，WSAR Tech 单独提供授权网站安全测试服务，仅在明确范围与书面授权下进行。
研究者
Qi Chen（陈琦）
安全研究员。授权本地靶场练习与防御研究。
WSAR Tech
运营主体 RECON RESCUE INC，位于美国德州 Katy。联系方式：chenqi@wsartech.com。
测试目标
OWASP Juice Shop（bkimminich/juice-shop），以 Docker 自建、仅绑定 127.0.0.1。该应用由 OWASP 专为教学发布。
发现归纳 — 按类别
在本地实例上进行手动黑/灰盒测试，发现横跨多个 OWASP Top 10（2021）类别。下表仅列出漏洞类别与代表性发现标题。本页不公开任何利用步骤、载荷、PoC 代码或复现过程。
| 漏洞类别 | OWASP Top 10 (2021) | 代表性发现 | 修复方向 |
|---|---|---|---|
| SQL 注入 / 认证绕过 | A03:2021 — 注入 | SQL 注入绕过登录、接管账号 | 参数化查询；杜绝把输入拼进 SQL |
| UNION 型 SQL 注入（数据泄露） | A03:2021 — 注入 | 用户表与凭据外泄 | 参数化查询；数据库账号最小权限 |
| NoSQL 注入 | A03:2021 — 注入 | 越权读取 / 批量篡改数据 | 校验输入；限制可用查询操作符 |
| 跨站脚本（反射型 / DOM 型） | A03:2021 — 注入 | 反射型与 DOM 型 XSS | 输出编码与严格的内容安全策略 |
| 越权访问 / IDOR | A01:2021 — 越权访问控制 | 跨账号读写、功能级鉴权缺失 | 服务端强制对象级与功能级授权 |
| Mass Assignment 提权 | A08:2021 — 软件与数据完整性 | 注册即提权到管理员 | 字段白名单；不信任客户端角色字段 |
| JWT 签名校验 / 算法混淆 | A02:2021 / A07:2021 | 伪造 / 无签名令牌被接受 | 强制预期算法并校验签名 |
| 弱凭据与不安全的账号找回 | A07:2021 — 认证失效 | 弱默认口令、安全问题找回薄弱 | 强口令策略；去默认值；加固找回流程 |
| 加密失败 | A02:2021 — 加密失败 | 可伪造令牌 / 折扣券、密钥材料泄露 | 使用签名令牌；保护密钥；服务端校验 |
| 服务端请求伪造（SSRF） | A10:2021 — SSRF | 服务端拉取攻击者提供的 URL | 出站目标白名单；校验与限制 URL |
| XML 外部实体（XXE） | A05:2021 — 安全配置错误 | 借 XML 实体读取文件 / 拒绝服务 | 关闭外部实体；设置解析器限制 |
| 安全配置错误与敏感数据暴露 | A05:2021 — 安全配置错误 | 目录列举、备份 / 配置文件、日志暴露 | 敏感文件移出 web 根；返回通用错误 |
| 不安全设计 / 业务逻辑缺陷 | A04:2021 — 不安全设计 | 支付、数量 / 流程绕过 | 服务端校验状态、金额与流程步骤 |
| 日志与监控暴露 | A09:2021 — 日志与监控 | 访问日志、指标接口暴露 | 对监控与日志端点鉴权并限制访问 |
覆盖的 OWASP Top 10（2021）类别
- A01 越权访问控制
- A02 加密失败
- A03 注入
- A04 不安全设计
- A05 安全配置错误
- A07 身份识别与认证失效
- A08 软件与数据完整性失效
- A09 日志与监控失效
- A10 服务端请求伪造（SSRF）
本作品集不包含什么
- 不是对任何第三方、生产或外部系统的未授权扫描或测试。
- 不承诺搜索排名或任何效果，也不提供"什么都能黑"的服务。
- 不公开任何利用步骤、载荷或 PoC 代码。
- 真实的漏洞赏金 / 平台提交在此一律不列出，待法律审查后再定。
需要在你自己的系统上做授权测试？
WSAR Tech 为 Web、移动端与 API 应用提供授权、限定范围的安全测试——在书面授权下进行，出具对照 OWASP Top 10 的漏洞报告与修复建议。了解"网站安全测试"服务。