OWASP Archives - 游侠安全网

2023年OWASP十大API安全风险排行榜及缓解策略

2023年9月26日

随着越来越多的组织依赖 Web 应用程序和连接服务提供的自动化和规模，应用程序编程接口 (API) 安全性已变得势在必行。仅去年一年，针对客户 API 的独特攻击者就增长了 400%，这证明组织必须采取主动方法来保护这些日益有价值的服务。但考虑到 API 技术的快速发展和威胁数量的不断增加，了解从何处以及如何开始保护 API 可能会令人难以承受。幸运的是，像开放 Web 应用程序安全项目 (OW...

在开展渗透测试工作中，有一些非常经典的渗透测试框架，它们提供了一套标准化的测试指导方针和推荐工具，帮助测试者跨不同的网络和安全环境开展更有效的渗透测试。尽管企业组织也可以自行构建测试框架，但是在大多数情况下，如果不依靠成熟的渗透测试框架来规范测试流程、测试工具和战术方法，企业的渗透测试工作可能很难取得成功。对于渗透测试工作来说，可重复性、可扩展性以及可持续性非常重要，特别是随着组织信息化应用和网络攻击面的增长，借助渗透测试框架能够最大程度消除渗透测试过程中的风险猜测和经验性决策，使测试人员能够专注于提升测试的质量和效果，同时进行安全风险的发现和研究。测试框架原理和步骤渗透测试框架的工作原理是指导渗透测试人员使用正确的工具和方法进行渗透测试，具体取决于计划进行的渗透测试类型和测试范围。一旦渗透测试人员开始启动渗透测试和白帽黑客攻击活动，他们应该参照渗透测试框架，以评估他们在测试过程中需要使用的战术类别和效果。完成渗透测试后，渗透测试人员应继续使用框架来进一步评估和报告测试中的发现，特别是与主要战术类别相关的发现，将环境恢复到渗透测试之前的设置状态也很重要。不同的渗透测试框架工作方式略有不同，具体取决于使用者的主要测试需求，但大多数框架都遵循类似的测试步骤，帮助组织高效、全面地完成渗透测试流程，以下是渗透测试框架通常遵循的一些常见步骤：初始规划和准备：框架指导组织确定他们的渗透测试人员、将使用的渗透测试框架和方法、对测试和报告结果的期望、任何法律或合规要求，以及进行成功测试所需的任何工具或资源。情报和信息收集：在渗透测试框架的开发和选择过程中，应尽早收集的信息包括资产所有权范围、网络目标、漏洞利用、任何涉及的第三方、网络端口、IP地址、相关员工姓名和财产位置。在某些情况下，此阶段也称为发现、测试、扫描或评估阶段。攻击阶段：渗透测试人员开始攻击，并根据框架预定义的战术类别评估系统的性能。攻击后阶段：渗透测试人员或网络安全专家团队确保测试环境的资产和功能恢复到原始状态。报告结果：测试框架用于根据所使用的工具和战术类别性能阐述结果。框架中的战术类别和方法典型的渗透测试框架都会明确列出渗透测试人员应使用的战术类别，以便在渗透测试过程中从多个方面评估网络安全性能。不过每个框架会使用自己特定的术语和方法来定义战术类别，以下是一些在渗透测试框架中最常见的战术类别：信息收集命令和控制凭证/信息访问防御规避能力和策略风险发现和信息收集模拟攻击执行泄露/窃取横向移动实现持久化驻留权限提升一般来说，渗透测试框架主要用于使渗透测试工作更加全面和有效，但是也会有一些不同的使用案例。以下是渗透测试框架的一些最常见使用方式：漏洞评估和管理；实现主动网络安全防护的道德黑客活动；防御性网络安全风险评估；发现、探测和侦察；安全缺陷和风险枚举；网络安全和合规审计。 7款主流的渗透测试框架借助成熟的渗透测试方法和框架，不仅可以大大简化测试工作的难度，而且会取得更好的测试效果。以下收集了7款目前最流行的渗透测试框架和方法，可以为企业组织更有效开展渗透测试工作提供帮助。1、Cobalt Strike Cobalt Strike是一种帮助安全红队指挥测试和操作的框架，也是目前最受企业欢迎的渗透测试框架之一。该框架全面包括了攻击模拟、事件响应指导和社会工程能力等。用户可以选择借助Community Kit仓库，对Cobalt Strike进行定制修改，还可以与Fortra提供的渗透测试软件Core Impact整合，进一步扩展其测试功能。传送门：https://www.cobaltstrike.com/。2、Metasploit Metasploit是一款由Rapid7和开源社区协作设计的渗透测试框架。它的一些典型功能特性包括1500个漏洞利用工具、网络发现、处理网络分段测试和自动化测试的元模块，并提供了基准审计报告、手动利用漏洞以及凭据蛮力破解等选项。用户可以选择免费的开源版Metasploit或功能更丰富的付费专业版。传送门：https://www.metasploit.com/。3、NIST Cybersecurity Framework NIST的网络安全框架（CSF）是一种测试功能选项非常广泛的渗透测试框架，专注于验证各种网络安全风险的标准、最佳实践和指导方针。该框架主要有五大功能：识别、保护、检测、响应和恢复。由于这是一种来自美国商务部的标准化测试框架，因此被全球很多企业用户作为了网络安全测试和合规审计的指导方针之一。传送门：https://www.nist.gov/cyberframework。4、开源安全测试方法手册（OSSTMM） OSSTMM框架是由美国安全和开放方法研究所（ISECOME）开发，它目前并不仅限于基本的测试功能，已变成了可用于广泛安全测试和分析的一套完整方法论。在其详细指南中，全面涵盖了测试的流程、战术和方法，还向用户提供了如何定义安全测试并确定范围、演练规则、错误处理和结果披露等方面的信息。传送门：https://www.isecom.org/OSSTMM.3.pdf。5、渗透测试执行标准（PTES）渗透测试执行标准（PTES）是另一个非常受欢迎的渗透测试框架，目前已经发展成为一种完整的渗透测试方法论。该框架全面涵盖了渗透测试的沟通和基本原理、情报收集、威胁建模、漏洞研究、利用和攻击后阶段以及测试报告提交。尽管在目前版本的PTES指南中，并没有涉及如何进行渗透测试相关的讨论，但该团队已经开发了一个技术指南文档来补充支持这个方面的工作。PTES的第二个更新版目前正在制定中。传送门：http://www.pentest-standard.org/index.php/Main_Page。6、开放Web应用程序安全项目（OWASP） OWASP（全球开放应用软件安全项目组织）也推出了一款持续渗透测试框架，目前还处于测试应用状态，不过OWASP已为对该框架的正式发布和应用功能感兴趣的用户提供了明确的时间路线图。与其他框架的不同在于，OWASP渗透测试框架侧重于面向信息安全和应用程序安全渗透测试的标准、指导方针和工具。传送门：https://owasp.org/www-project-continuous-penetration-testing-framework/。7、渗透测试者框架（PTF） TrustedSec公司推出的PenTesters Framework（PTF）渗透测试框架在很大程度上基于Penetration Testing Execution Standard标准来执行。它旨在使相关测试工具的安装和打包更加简洁，因此也被认为是高度可定制和可配置的一款测试框架。用户可以通过Linux命令下载使用，或直接通过Git来下载安装。传送门：https://www.trustedsec.com/tools/pentesters-framework/。参考链接：https://www.esecurityplanet.com/networks/pentest-framework/。

七款最流行的渗透测试框架及其特点分析

2023年7月7日

在开展渗透测试工作中，有一些非常经典的渗透测试框架，它们提供了一套标准化的测试指导方针和推荐工具，帮助测试者跨不同的网络和安全环境开展更有效的渗透测试。尽管企业组织也可以自行构建测试框架，但是在大多数情况下，如果不依靠成熟的渗透测试框架来规范测试流程、测试工具和战术方法，企业的渗透测试工作可能很难取得成功。对于渗透测试工作来说，可重复性、可扩展性以及可持续性非常重要，特别是随着组织信息化应用和网...

2023 OWASP API Security Top 10 正式发布！

2023年7月6日

2023年6月5日，OWASP正式发布了2023版API安全Top 10列表。首版 OWASP API Security Top 10 发布于2019年，今年2月时，OWASP曾发布过一个候选版（Candidate），现在终于等到了正式稳定版（stable version）。该列表与2019版有许多相似之处，但也进行了一些重组/重新定义并引入了一些新概念。威胁和风险在几年内都不会发生剧烈变化；但...

安全工具OWASP ZAP、Burp Suite、Appscan对比

2022年9月26日

机缘巧合，最近接触了一款开源的web安全工具OWASP ZAP，着实眼前一亮。操作简单易用、功能齐全、插件种类丰富，具备代理、数据截断、扫描、主动攻击、爬虫、fuzzing、渗透测试等多样的安全测试功能，相比于商业版的Burp Suite和AppScan工具，OWASP ZAP不乏为一款不错的商用版替代工具，也是安全人员入门的极佳体验工具。本文将根据OWASP ZAP工具特性，分别将其与Burp...

OWASP Top10 2017发布，应用安全风险新增三名成员

2017年12月5日

OWASP（开放式Web应用程序安全项目）的工具、文档、论坛和全球各地分会都是开放的，对所有致力于改进应用程序安全的人士开放，其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结了Web应用程序最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识。可以帮助IT公司和开发团队规范应用程序开发流程和测试流程，提高Web产品的安全性。 OWASP Top 10多...

OWASP 中国官方发布 | OWASP Top 10 2017（RC1）中文版

2017年4月18日

2017年4月10日，OWASP组织对外发布了“ReleaseCandidate”版本的《OWASP Top 10 2017》文档，OWASP中国根据OWASP组织发布的消息，组织发布《OWASP Top10 2017 RC1》中文版。

跨站请求伪造(CSRF)攻击原理解析：比你所想的更危险

2016年3月21日

跨站请求伪造（Cross-Site Request Forgery）或许是最令人难以理解的一种攻击方式了，但也正因如此，它的危险性也被人们所低估。在“开放式Web应用程序安全项目”（OWASP）的榜单中，CSRF（又称XSRF）就位于前10的位置。

OWASP Mobile Top 10 2016 重磅来袭

2016年3月18日

我们知道，Open Web Application Security Project每隔一段时间就会公布“OWASP Top 10”，这是针对Web应用安全问题的一个影响力极大的清单。而最近，OWASP公布了“Mobile Top 10 2016”。

CWASP L2培训上海第二期报名启动

2014年11月13日

CWASP，认证Web应用安全专家（Certified Web Application Security Professional）,是一个专注于培养Web安全人才的培训认证体系，同时也是业界首个理论与实践相结合的培训认证体系。

Top 10 Security Risks for 2014

2014年8月6日

很多朋友对OWASP Top 10不理解，特别是刚入门的朋友，在这里乌云漏洞平台做了整理，每一个都有明确的案例，非常好的、极为接地气的Web应用安全案例文章，推荐给大家。

OWASP中国正式启动Hacking-Lab项目

2013年10月12日

第一批Hacking-Lab服务器将在首先山东省部署，届时完全免费向广大爱好者开放。Hacking-Lab排行榜也同时开放，在可预见的将来，为Hacking-Lab排行榜单成员免费推荐工作，最富才能的网络安全专家还会由SecZone承担费用等事宜。

深信服下一代防火墙荣获OWASP认证

2013年2月27日

近日，深信服科技旗舰产品深信服下一代防火墙NGAF获得全球性开源安全组织OWASP的Web应用防火墙认证证书，Web防护能力获高度认可。 OWASP被视为Web应用安全领域的权威参考：2009年下列发布的美国国家和国际立法、标准、准则、委员会和行业实务守则参考引用了OWASP；美国联邦贸易委员会（FTC）强烈建议所有企业需遵循OWASP十大Web弱点防护守则；OWASP TOP 10是IBM AP...

DBA经验谈：3个最严重的数据库安全问题

2012年4月24日

数据库的安全问题一直以来就是DBA的噩梦，那些不安全的Web应用程序、没有有效的认证管理以及管理配置不当的分段都可能让数据库处于危险之中。当然，如果你的数据库系统没有部署流量监控或加密技术，数据库安全也可以说是不完整的。但是大多数安全从业人员都知道往往数据库安全的有效性在数据库环境外部和内部差不多。而实际上在数据的存储过程中通常因为IT基础架构层的安全性较差而导致了更多的数据泄漏。因而产生了三个...

OWASP中国区主席Rip:OWASP启动三大计划

2011年11月28日

　　【IT168 资讯】以“互联网安全新思维”为主题的OWASP2011亚洲峰会在11月8日-9日成功举办。本届大会以“网络安全产品测评”、“OWASP应用安全技术”“业务安全发展新思路”“云安全”等多个角度展开深入的讨论。OWASP中国区主席Rip为大会致辞，并在会上宣布了OWASP未来的三大计划。

▲OWASP中国区主席Rip致辞

开启“WEB安全的今天和明天”，安恒信息出席OWASP2011亚洲峰会

2011年11月21日

　　11月8日，全球顶级WEB应用安全组织OWASP在中国北京国际会议中心召开了OWASP 2011亚洲峰会，本次大会邀请了政府、金融、互联网、教育、电信、能源等热门行业的CIO代表和国内外知名的应用安全专家、厂商代表。以 “互联网安全新思维”为主题，在“网络安全产品测评”、“OWASP应用安全技术”“业务安全发展新思路”“云安全”等多个方面展开深入的讨论。杭州安恒信息技术有限公司作为OWASP中

标签： OWASP