aks-builds/awesome-owasp-security-testing

# Awesome OWASP 安全测试 [](https://awesome.re) 本列表专注于 **Web 应用、API、移动应用及底层基础设施安全测试** 的相关资源，以 OWASP 旗舰项目为核心，并辅以广泛使用的开源工具。每一项都是真实且现有的项目——在采用之前，请务必查阅上游文档以核实其许可证、维护状态和版本兼容性。 ## 目录 - [OWASP 标准与指南](#owasp-standards-and-guides) - [OWASP 工具](#owasp-tools) - [DAST 与扫描器](#dast-and-scanners) - [用于练习的含漏洞应用](#vulnerable-apps-for-practice) - [依赖与供应链](#dependency-and-supply-chain) - [威胁建模](#threat-modeling) - [WAF 与规则集](#waf-and-rule-sets) - [漏洞管理与编排](#vulnerability-management-and-orchestration) - [知识库与培训](#knowledge-and-training) - [配套工具](#companion-tools) - [DAST](#dast) - [SAST](#sast) - [SCA 与 SBOM](#sca-and-sbom) - [Secret 扫描](#secret-scanning) - [基础设施即代码扫描](#infrastructure-as-code-scanning) - [容器与运行时](#container-and-runtime) - [API 安全](#api-security) - [移动安全](#mobile-security) - [信息收集](#reconnaissance) - [标准与框架（非 OWASP）](#standards-and-frameworks-non-owasp) - [学习平台](#learning-platforms) - [书籍](#books) - [社区与活动](#communities-and-events) - [相关 Awesome 列表](#related-awesome-lists) - [贡献](#contributing) - [许可证](#license) ## OWASP 标准与指南 - [OWASP Top 10](https://owasp.org/www-project-top-ten/) — 旗舰级意识文档，列出了最关键的 Web 应用安全风险。 - [OWASP API Security Top 10](https://owasp.org/API-Security/) — 顶尖的 API 专属风险（BOLA、身份验证失效、批量赋值等）。 - [OWASP Mobile Top 10](https://owasp.org/www-project-mobile-top-10/) — 移动应用面临的顶级风险。 - [OWASP Top 10 for LLM Applications](https://owasp.org/www-project-top-10-for-large-language-model-applications/) — 基于大语言模型构建的应用程序特有的风险。 - [OWASP Web Security Testing Guide (WSTG)](https://github.com/OWASP/wstg) — 测试 Web 应用和服务安全性的综合指南。 - [OWASP Mobile Application Security Testing Guide (MASTG)](https://github.com/OWASP/owasp-mastg) — 用于移动应用安全测试和逆向工程的综合手册。 - [OWASP Application Security Verification Standard (ASVS)](https://github.com/OWASP/ASVS) — 用于设计、构建和测试应用安全控制的验证要求。 - [OWASP Mobile Application Security Verification Standard (MASVS)](https://github.com/OWASP/owasp-masvs) — 针对移动应用的安全验证标准，与 MASTG 搭配使用。 - [OWASP Software Assurance Maturity Model (SAMM)](https://owaspsamm.org) — 用于评估和改进软件安全状况的规范性模型。 - [OWASP Cheat Sheet Series](https://github.com/OWASP/CheatSheetSeries) — 为开发人员和测试人员提供关于特定 AppSec 主题的简明、高价值指导。 - [OWASP Proactive Controls](https://owasp.org/www-project-proactive-controls/) — 开发人员应采用以构建安全软件的顶级技术。 - [OWASP DevSecOps Guideline](https://owasp.org/www-project-devsecops-guideline/) — 将安全性集成到 CI/CD 流水线中的参考指南。 ## OWASP 工具 ### DAST 与扫描器 - [OWASP ZAP](https://github.com/zaproxy/zaproxy) — 旗舰级开源 Web 应用扫描器，支持被动扫描、主动攻击、模糊测试和可脚本化的自动化。 - [OWASP Nettacker](https://github.com/OWASP/Nettacker) — 自动化渗透测试和漏洞扫描框架。 - [OWASP Amass](https://github.com/owasp-amass/amass) — 通过主动和被动技术进行攻击面映射和外部资产发现。 ### 用于练习的含漏洞应用 - [OWASP Juice Shop](https://github.com/juice-shop/juice-shop) — 使用 Node.js 编写的现代且故意不安全的 Web 应用，内置挑战。 - [OWASP WebGoat](https://github.com/WebGoat/WebGoat) — 故意不安全的 Java Web 应用，用于教授 AppSec 课程。 - [OWASP crAPI](https://github.com/OWASP/crAPI) — 完全荒谬的 API：一个用于练习 API Security Top 10 的含漏洞 API。 - [OWASP Mutillidae II](https://github.com/webpwnized/mutillidae) — 免费、开源、故意存在漏洞的 PHP Web 应用。 - [OWASP Security Shepherd](https://github.com/OWASP/SecurityShepherd) — 包含课程和 CTF 模式的 Web 和移动应用安全培训平台。 ### 依赖与供应链 - [OWASP Dependency-Check](https://github.com/dependency-check/DependencyCheck) — SCA 工具，用于识别项目依赖项并对照已知漏洞数据库进行检查。（原 `jeremylong/DependencyCheck` 仓库已于 2025-09-27 归档，并由该组织接替。） - [OWASP Dependency-Track](https://github.com/DependencyTrack/dependency-track) — 持续的 SBOM 分析平台，用于管理跨项目组合的组件风险。 - [OWASP CycloneDX](https://cyclonedx.org) — 专为应用安全和供应链风险设计的轻量级 SBOM 标准。 ### 威胁建模 - [OWASP Threat Dragon](https://github.com/OWASP/threat-dragon) — 开源威胁建模工具，提供 Web 和桌面版本；支持 STRIDE 和 LINDDUN。 - [OWASP pytm](https://github.com/OWASP/pytm) — Pythonic 威胁建模框架：在代码中定义系统，生成图表和威胁报告。 ### WAF 与规则集 - [OWASP Core Rule Set (CRS)](https://github.com/coreruleset/coreruleset) — 用于兼容 ModSecurity 的 WAF 的通用攻击检测规则集。 - [OWASP Coraza](https://github.com/corazawaf/coraza) — Golang 企业级 WAF 库，兼容 ModSecurity SecLang 规则和 OWASP CRS。 ### 漏洞管理与编排 - [OWASP DefectDojo](https://github.com/DefectDojo/django-DefectDojo) — 开源的应用漏洞关联和安全编排平台。 - [OWASP SecureCodeBox](https://github.com/secureCodeBox/secureCodeBox) — 基于 Kubernetes 的编排平台，用于大规模运行和聚合安全扫描。 ### 知识库与培训 - [OWASP Security Knowledge Framework](https://owasp.org/www-project-security-knowledge-framework/) — 根据特定技术和功能，引导开发人员满足安全编码要求的专家系统。 - [OWASP SamuraiWTF](https://github.com/SamuraiWTF/samuraiwtf) — 预装了工具和含漏洞目标的实时 Linux 环境，用于 Web 渗透测试练习。 ## 配套工具 不属于 OWASP 体系，但与 OWASP 标准无缝集成且在安全测试中被广泛使用的工具。 ### 动态应用安全测试 (DAST) - [Burp Suite](https://portswigger.net/burp) — PortSwigger 推出的行业标准 Web 漏洞扫描器和拦截代理；社区版免费。 - [Nuclei](https://github.com/projectdiscovery/nuclei) — 快速的、基于模板的漏洞扫描器，由庞大的社区模板库驱动。 - [Nikto](https://github.com/sullo/nikto) — 历史悠久的开源 Web 服务器扫描器，用于测试过时的软件和常见的配置错误。 - [sqlmap](https://github.com/sqlmapproject/sqlmap) — 自动化的 SQL 注入检测和利用工具。 - [Wapiti](https://github.com/wapiti-scanner/wapiti) — 通过对脚本和表单进行模糊测试来发现常见注入漏洞的 Web 应用漏洞扫描器。 ### 静态应用安全测试 (SAST) - [Semgrep](https://github.com/semgrep/semgrep) — 基于模式规则驱动的多语言轻量级静态分析工具；拥有强大的 AppSec 规则包。 - [CodeQL](https://github.com/github/codeql) — GitHub 推出的语义代码分析引擎；将代码视为可查询的数据。 - [Bandit](https://github.com/PyCQA/bandit) — 针对 Python 代码的安全 linter。 - [Brakeman](https://github.com/presidentbeef/brakeman) — 针对 Ruby on Rails 的静态分析安全扫描器。 - [gosec](https://github.com/securego/gosec) — 通过 AST 分析检查 Go 源代码的安全问题。 - [njsscan](https://github.com/ajinabraham/njsscan) — 由 libsast 和 semgrep 提供支持的 Node.js 应用静态安全扫描器。 ### SCA 与 SBOM - [Trivy](https://github.com/aquasecurity/trivy) — 适用于容器、文件系统、git 仓库、IaC 和 Kubernetes 的多合一扫描器；支持 SBOM。 - [Grype](https://github.com/anchore/grype) — 针对容器镜像和文件系统的漏洞扫描器。 - [Syft](https://github.com/anchore/syft) — 针对容器镜像和文件系统的 SBOM 生成器；支持输出为 CycloneDX、SPDX 等格式。 - [OSV-Scanner](https://github.com/google/osv-scanner) — OSV.dev 数据库的前端工具；扫描 lockfile 和 SBOM 以查找已知漏洞。 - [Snyk Open Source CLI](https://github.com/snyk/cli) — 带有免费层的商业 SCA 工具；支持多种生态系统。 ### Secret 扫描 - [Gitleaks](https://github.com/gitleaks/gitleaks) — SAST 工具，用于检测 git 仓库中硬编码的 secret，如密码、API 密钥和 token。 - [TruffleHog](https://github.com/trufflesecurity/trufflehog) — 通过扫描仓库、S3 和其他来源来查找并验证泄露的凭证。 - [detect-secrets](https://github.com/Yelp/detect-secrets) — 来自 Yelp 的对 Pre-commit 友好的 secret 扫描器，支持基于基线的抑制。 ### 基础设施即代码扫描 - [Checkov](https://github.com/bridgecrewio/checkov) — 针对 Terraform、CloudFormation、Kubernetes、Helm、ARM 等的静态分析工具。 - [tfsec](https://github.com/aquasecurity/tfsec) — 针对 Terraform 代码的安全扫描器（现已是 Trivy 项目的一部分）。 - [KICS](https://github.com/Checkmarx/kics) — 跨多个 IaC 平台查找安全漏洞、合规性问题和 IaC 错误配置。 - [Terrascan](https://github.com/tenable/terrascan) — 用于检测合规性和安全违规行为的 IaC 扫描器。 ### 容器与运行时 - [Falco](https://github.com/falcosecurity/falco) — 云原生运行时安全工具，利用内核事件检测异常行为。 - [Clair](https://github.com/quay/clair) — 用于静态分析容器镜像中漏洞的开源项目。 - [Dockle](https://github.com/goodwithtech/dockle) — 针对安全性的容器镜像 linter，帮助构建最佳实践的 Docker 镜像。 - [kube-bench](https://github.com/aquasecurity/kube-bench) — 检查 Kubernetes 是否按照 CIS Kubernetes Benchmark 进行了安全部署。 - [kube-hunter](https://github.com/aquasecurity/kube-hunter) — 寻找 Kubernetes 集群中的安全弱点。 ### API 安全 - [Schemathesis](https://github.com/schemathesis/schemathesis) — 针对 OpenAPI、GraphQL 和其他 API schema 的基于属性的测试；能发现规范中暗示不应存在的 bug。 - [Postman / Newman](https://github.com/postmanlabs/newman) — Postman 的命令行集合运行器；适用于将 API 安全检查嵌入 CI。 - [Akto](https://github.com/akto-api-security/akto) — 具备流量感知测试生成能力的开源 API 安全测试平台。 - [Insomnia](https://github.com/Kong/insomnia) — 开源 API 客户端，适合在自动化扫描的同时进行手动 API 探索。 ### 移动安全 - [MobSF](https://github.com/MobSF/Mobile-Security-Framework-MobSF) — 用于自动化、多合一移动应用渗透测试（Android/iOS/Windows）的移动安全框架 — 包含 SAST、DAST 和 API 测试。 - [Frida](https://github.com/frida/frida) — 面向开发人员、逆向工程师和安全研究人员的动态插桩工具包。 - [Objection](https://github.com/sensepost/objection) — 由 Frida 提供支持的运行时移动探索工具包。 - [APKLeaks](https://github.com/dwisiswant0/apkleaks) — 扫描 APK 文件中的 URI、endpoint 和 secret。 ### 信息收集 - [Nmap](https://nmap.org) — 事实上的标准网络扫描器，用于主机发现和服务/版本检测。 - [Subfinder](https://github.com/projectdiscovery/subfinder) — 快速的被动子域名枚举工具。 - [httpx](https://github.com/projectdiscovery/httpx) — 快速、多用途的 HTTP 工具包，可大规模探测主机并提取元数据。 - [Metasploit Framework](https://github.com/rapid7/metasploit-framework) — 全球使用最广泛的渗透测试框架，拥有数以千计的漏洞利用和辅助模块。 ## 标准与框架（非 OWASP） - [NIST SP 800-115](https://csrc.nist.gov/publications/detail/sp/800-115/final) — 信息安全测试与评估技术指南。 - [PTES — Penetration Testing Execution Standard](http://www.pentest-standard.org) — 社区开发的标准，涵盖端到端的渗透测试方法论。 - [MITRE ATT&CK](https://attack.mitre.org) — 基于真实世界观察的全球可访问的战术和技术知识库。 - [CWE Top 25](https://cwe.mitre.org/top25/) — 由 MITRE 维护的最危险的软件缺陷列表。 - [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks) — 为系统、云和应用程序协商开发的安全配置指南。 ## 学习平台 - [PortSwigger Web Security Academy](https://portswigger.net/web-security) — 由 Burp Suite 的创建者提供的免费、实操型 Web 安全培训。 - [Hack The Box](https://www.hackthebox.com) — 渗透测试实验室和挑战，涵盖从初学者到专家的各个级别。 - [TryHackMe](https://tryhackme.com) — 为攻击和防御安全主题提供引导式的学习路径和房间。 - [PentesterLab](https://pentesterlab.com) — 专注于 Web 应用漏洞和漏洞利用的练习。 - [VulnHub](https://www.vulnhub.com) — 收集了可下载的含漏洞虚拟机镜像，用于离线练习。 - [Pwning OWASP Juice Shop](https://pwning.owasp-juice.shop) — 针对 Juice Shop 挑战的配套书籍和攻略。 ## 书籍 - *The Web Application Hacker's Handbook* (2nd ed.) — Stuttard & Pinto, Wiley, 2011. - *The Tangled Web* — Michal Zalewski, No Starch Press, 2011. - *Real-World Bug Hunting* — Peter Yaworski, No Starch Press, 2019. - *Hacking APIs* — Corey Ball, No Starch Press, 2022. - *The Hacker Playbook 3* — Peter Kim, Secure Planet, 2018. - *Black Hat Python* (2nd ed.) — Justin Seitz & Tim Arnold, No Starch Press, 2021. - *Bug Bounty Bootcamp* — Vickie Li, No Starch Press, 2021. ## 社区与活动 - [OWASP Global AppSec](https://owasp.org/events/) — OWASP 旗舰会议，每年在多个地区举行。 - [OWASP Chapters](https://owasp.org/chapters/) — 世界各地的本地聚会；是进入该社区的良好切入点。 - [DEF CON](https://defcon.org) — 全球规模最大的黑客大会之一。 - [Black Hat](https://www.blackhat.com) — 举办技术培训和简报会的信息安全系列活动。 - [BSides](http://www.securitybsides.com) — 推动举办地方安全会议的社区驱动框架。 ## 相关 Awesome 列表 - [awesome-security](https://github.com/sbilly/awesome-security) — 广泛的安全工具和资源列表。 - [awesome-pentest](https://github.com/enaqx/awesome-pentest) — 渗透测试相关的资源、工具和参考。 - [awesome-web-security](https://github.com/qazbnm456/awesome-web-security) — Web 安全相关的材料和资源。 - [awesome-appsec](https://github.com/paragonie/awesome-appsec) — 应用程序安全学习资源。 - [awesome-api-security](https://github.com/arainho/awesome-api-security) — API 安全相关的工具、演讲和参考。*（已于 2026 年 5 月归档——作为历史参考极具价值。）* - [awesome-mobile-security](https://github.com/vaib25vicky/awesome-mobile-security) — 针对 Android 和 iOS 的移动安全资源。 - [awesome-fuzzing](https://github.com/cpuu/awesome-fuzzing) — Fuzzing 工具、论文和资源。 ## 许可证 [](https://creativecommons.org/publicdomain/zero/1.0/) 在法律允许的范围内，贡献者已放弃对本作品的所有版权及相关或邻接的权利。

标签：DAST, DevSecOps, SAST, 上游代理, 子域名突变, 安全测试, 恶意软件分析, 攻击性安全, 日志审计, 盲注攻击, 逆向工具, 防御加固