mmaryam123/Week-03-Advanced-Security-Analysis-Penetration-Testing-and-Logging-System-Implementation
GitHub: mmaryam123/Week-03-Advanced-Security-Analysis-Penetration-Testing-and-Logging-System-Implementation
以 OWASP Juice-shop 为靶机的高级安全分析实验，涵盖 Nmap 渗透测试与基于 Winston 的结构化安全日志系统实现。
Stars: 0 | Forks: 0
# 第 03 周：高级安全分析 - OWASP Juice-shop
# 目标
本次实施的目标是通过以下方式提升应用安全性：
- 记录用户活动，如搜索请求、登录成功和登录失败。
- 捕获完整的请求详细信息以进行安全分析。
- 以结构化的 JSON 格式存储日志。
- 检测潜在的 XSS 和 SQL 注入尝试。
# 基础渗透测试
使用 Nmap 和基于浏览器的测试进行了基础渗透测试，以识别应用程序中可能存在的漏洞。
## 安全观察
- 仅开放了一个端口。
- 大多数端口已关闭。
- 安全请求头已启用。
- Web 应用程序可正常访问。
# 使用 Winston 进行日志记录
实现了 Winston 日志库以监控安全事件。
## 日志记录的目的
- 检测可疑活动。
- 存储攻击尝试记录。
- 记录失败的登录尝试。
- 监控搜索请求。
## Winston Logger 配置
```
import * as winston from 'winston'
export default winston.createLogger({
level: 'info',
format: winston.format.combine(
winston.format.timestamp(),
winston.format.json()
),
transports: [
new winston.transports.Console({
level: process.env.NODE_ENV === 'test'
? 'error'
: 'info'
}),
new winston.transports.File({
filename: 'security.log',
level: 'info'
})
]
})
```
# 安全清单
## 最佳实践
- 在处理用户数据之前验证所有输入。
- 使用 HTTPS 进行安全的数据传输。
- 在将密码存储到数据库之前对其进行哈希处理和加盐。
- 通过输入清理防止 XSS 和注入攻击。
- 记录可疑活动和失败的登录尝试。
- 使用安全的身份验证和授权方法。
- 限制不必要的开放端口和服务。
- 安全地存储日志以供监控和调查。
- 为用户账户使用强密码策略。
## 安全观察
- 仅开放了一个端口。
- 大多数端口已关闭。
- 安全请求头已启用。
- Web 应用程序可正常访问。
# 使用 Winston 进行日志记录
实现了 Winston 日志库以监控安全事件。
## 日志记录的目的
- 检测可疑活动。
- 存储攻击尝试记录。
- 记录失败的登录尝试。
- 监控搜索请求。
## Winston Logger 配置
```
import * as winston from 'winston'
export default winston.createLogger({
level: 'info',
format: winston.format.combine(
winston.format.timestamp(),
winston.format.json()
),
transports: [
new winston.transports.Console({
level: process.env.NODE_ENV === 'test'
? 'error'
: 'info'
}),
new winston.transports.File({
filename: 'security.log',
level: 'info'
})
]
})
```
# 安全清单
## 最佳实践
- 在处理用户数据之前验证所有输入。
- 使用 HTTPS 进行安全的数据传输。
- 在将密码存储到数据库之前对其进行哈希处理和加盐。
- 通过输入清理防止 XSS 和注入攻击。
- 记录可疑活动和失败的登录尝试。
- 使用安全的身份验证和授权方法。
- 限制不必要的开放端口和服务。
- 安全地存储日志以供监控和调查。
- 为用户账户使用强密码策略。标签：AMSI绕过, API密钥检测, CISA项目, CTI, ETW劫持, GNU通用公共许可证, HTTPS, JSON格式日志, MITM代理, Nmap, Node.js, OWASP Juice Shop, SQL注入检测, Winston, XSS检测, 威胁检测, 安全防护, 日志记录, 网络安全, 虚拟驱动器, 输入验证, 隐私保护