WSAR Tech关于本作品集
仅为练习靶场。以下所有条目均来自我们在本机上运行的、OWASP 专门用于教学的"故意留洞"应用（OWASP Juice Shop 与 DVWA），属于授权的学习练习。这些并非客户项目，未测试任何生产或第三方系统，也未向任何赏金平台提交或主张任何奖励。发现仅做高层次归纳展示，不公开任何利用步骤或攻击载荷。
- 共记录 36 个测试发现，覆盖两个靶场
- OWASP Juice Shop 33 个，DVWA 3 个
- 严重 4 个、高危 12 个、中危 20 个
- 覆盖 OWASP Top 10（2021）中的七个大类
OWASP Juice Shop — 33 个发现
OWASP Juice Shop 是 OWASP 维护、专门用于教学的"故意不安全"Web 应用。以下发现均在本机自建实例上完成。
| 测试项 | 漏洞类别 | OWASP Top 10 (2021) | 严重等级（CVSS 3.1） | 修复方向 |
|---|---|---|---|---|
| SQL 注入导致登录认证绕过 | SQL 注入 | A03:2021 | 严重 9.8 | 参数化查询与服务端输入处理 |
| 注册接口 Mass Assignment 提权 | 批量赋值（Mass Assignment） | A08:2021 | 严重 9.8 | 字段白名单；不信任客户端提交的角色字段 |
| 管理员弱口令 | 身份识别与认证失效 | A07:2021 | 严重 9.8 | 强制强口令策略，移除默认口令 |
| JWT 签名校验缺陷（算法混淆 / 无签名令牌） | 加密失败 | A02:2021 | 严重 9.1 | 固定预期算法并严格校验签名 |
| UNION 型 SQL 注入导致用户表与凭据泄露 | SQL 注入 | A03:2021 | 高 7.5 | 参数化查询；数据库账号最小权限 |
| 弱安全问题导致口令重置账号接管 | 身份识别与认证失效 | A07:2021 | 高 8.1 | 加强账号找回流程；避免可猜测的安全问题 |
| 目录列举导致敏感文档泄露 | 敏感数据暴露 | A01:2021 | 高 7.5 | 关闭目录列举；保护静态文件 |
| NoSQL 注入导致订单数据越权读取 | NoSQL 注入 | A03:2021 | 高 7.5 | 禁用高危操作符；校验输入 |
| NoSQL 注入导致服务端拒绝服务 | NoSQL 注入 | A03:2021 | 高 7.5 | 禁用高危操作符；设置执行超时 |
| 头像 URL 导致服务端请求伪造（SSRF） | 服务端请求伪造（SSRF） | A10:2021 | 高 7.6 | URL 白名单；屏蔽内网地址段 |
| XML 外部实体注入（XXE）读取本地文件 | XML 外部实体注入（XXE） | A05:2021 | 高 7.1 | 关闭外部实体解析 |
| SQL 注入登录绕过（另一账号） | SQL 注入 | A03:2021 | 高 8.1 | 参数化查询 |
| SQL 注入登录绕过（第三个账号） | SQL 注入 | A03:2021 | 高 8.1 | 参数化查询 |
| SQL 注入泄露数据库表结构 | SQL 注入 | A03:2021 | 中 5.3 | 参数化查询；屏蔽详细报错 |
| 购物篮越权访问（IDOR） | 越权访问（IDOR） | A01:2021 | 中 6.5 | 强制对象级授权校验 |
| 评价身份伪造 | 越权访问控制 | A01:2021 | 中 4.3 | 在服务端将操作绑定到已认证身份 |
| 空字节路径处理导致备份文件泄露 | 安全配置错误 | A05:2021 | 中 5.3 | 校验输入；限制可访问的文件路径 |
| 啰嗦报错泄露堆栈与 SQL 细节 | 安全配置错误 | A05:2021 | 中 5.3 | 返回通用错误；详细信息仅记录在服务端 |
| 弱加密导致折扣券可伪造 | 加密失败 | A02:2021 | 中 6.5 | 使用签名令牌；服务端校验数值 |
| NoSQL 注入批量篡改商品评价 | NoSQL 注入 | A03:2021 | 中 6.5 | 校验输入；限制查询操作符 |
| XXE 导致拒绝服务 | XML 外部实体注入（XXE） | A05:2021 | 中 6.5 | 关闭外部实体；限制解析器资源 |
| 订单追踪参数反射型 XSS | 跨站脚本（XSS） | A03:2021 | 中 6.1 | 输出编码并配置严格的 CSP |
| 会员升级支付绕过 | 不安全设计 | A04:2021 | 中 5.3 | 在服务端对购买进行授权校验 |
| 越权修改他人购物篮 | 越权访问控制 | A01:2021 | 中 4.3 | 强制对象级授权 |
| 负数量订单业务逻辑缺陷 | 不安全设计 | A04:2021 | 中 5.3 | 在服务端校验数量与金额 |
| 开放重定向 | 越权访问控制 | A01:2021 | 中 4.7 | 对跳转目标做白名单校验 |
| 反馈身份伪造 | 越权访问控制 | A01:2021 | 中 4.3 | 在服务端将操作绑定到已认证身份 |
| 空字节处理暴露遗留销售备份 | 安全配置错误 | A05:2021 | 中 5.3 | 校验输入；清理并限制备份文件 |
| 检测规则文件放置不当导致泄露 | 安全配置错误 | A05:2021 | 中 5.3 | 敏感文件不放置在 Web 根目录 |
| 未鉴权的指标接口暴露 | 安全配置错误 | A05:2021 | 中 5.3 | 对监控接口鉴权并限制访问 |
| 访问日志对外可下载 | 安全日志与监控失效 | A09:2021 | 中 5.3 | 限制日志文件访问 |
| 可创建空账号 | 身份识别与认证失效 | A07:2021 | 中 4.3 | 在服务端校验注册输入 |
| 越权下单已下架商品 | 不安全设计 | A04:2021 | 中 5.4 | 在服务端校验商品状态 |
DVWA — 3 个发现
DVWA（Damn Vulnerable Web Application）是用于安全教学的"故意不安全"PHP/MySQL 应用。以下发现均在本机自建实例上完成。
| 测试项 | 漏洞类别 | OWASP Top 10 (2021) | 严重等级（CVSS 3.1） | 修复方向 |
|---|---|---|---|---|
| 操作系统命令注入 | 操作系统命令注入 | A03:2021 | 高 8.8 | 避免调用系统 shell；校验并转义输入 |
| 任意文件上传导致远程代码执行 | 任意文件上传 | A03:2021 | 高 8.8 | 校验文件类型；存储在 Web 根目录之外 |
| 密码修改接口 CSRF | 跨站请求伪造（CSRF） | A01:2021 | 高 8.1 | 使用 Anti-CSRF 令牌与 SameSite Cookie |