Oth1234/OWASP-Juice-Shop-Security
GitHub: Oth1234/OWASP-Juice-Shop-Security
基于 OWASP Juice Shop 靶场的 Web 安全挑战解题文档库，按 OWASP Top 10 分类提供漏洞原理、复现步骤与修复方案的完整 Writeup。
Stars: 0 | Forks: 0
# OWASP Juice Shop — Writeups
这是我在实践 [OWASP Juice Shop](https://owasp.org/www-project-juice-shop/) 过程中的个人 Writeup，
OWASP 出于安全培训目的专门构建的这个充满漏洞的 Web 应用，
可用于 CTF，以及在安全的沙箱环境中演示真实的漏洞类型。
## 仓库布局
```
writeups/ One markdown file per challenge, grouped by OWASP Top 10 category
01-injection/
02-broken-authentication/
03-sensitive-data-exposure/
04-broken-access-control/
05-security-misconfiguration/
06-xss/
07-insecure-deserialization/
08-vulnerable-components/
09-improper-input-validation/
10-cryptographic-issues/
screenshots/ PNGs referenced from writeups, named -NN.png
reports/ Roll-up reports summarizing findings
```
## Writeup 格式
每个挑战的 Writeup 都遵循相同的结构，以便于浏览
并相互进行对比：
1. **挑战** — 名称、难度（如 Juice Shop 记分板上所示）、OWASP 类别
2. **目标** — 挑战要求你完成的任务
3. **漏洞** — 底层的弱点类别及其存在的原因
4. **复现步骤** — 详细的操作演示
5. **根本原因** — 导致该漏洞的特定代码或配置模式
6. **修复** — 在实际开发中应如何正确构建
7. **截图** — 链接自 `/screenshots`
## 搭建你自己的实例
```
# Docker（推荐）
docker pull bkimminich/juice-shop
docker run -d -p 3000:3000 bkimminich/juice-shop
# 或通过 npm
git clone https://github.com/juice-shop/juice-shop.git
cd juice-shop
npm install
npm start
```
然后访问 `http://localhost:3000`。记分板（列出了所有挑战、难度和提示）可以通过 "?" 提示按钮访问，或者通过将其作为一个挑战来发现——一旦找到即可通过 `/#/score-board` 访问。
## 添加你自己的截图
本仓库默认不包含截图，因为它们需要在实际运行的实例中进行抓取。关于命名规范，请参阅 `screenshots/README.md`——在你自己动手解决挑战时，根据 Writeup 中带编号的截图占位符（``）抓取每一步的图像，并将 PNG 文件放入其中。
## 进度跟踪
| 类别 | 已记录的挑战数 |
|---|---|
| Injection | 3 |
| Broken Authentication | 3 |
| Sensitive Data Exposure | 2 |
| Broken Access Control | 3 |
| Security Misconfiguration | 2 |
| XSS | 3 |
| Insecure Deserialization | 1 |
| Vulnerable Components | 1 |
| Improper Input Validation | 2 |
| Cryptographic Issues | 2 |
有关完整的汇总发现表，请参阅 [`reports/vulnerability-report.md`](reports/vulnerability-report.md)；
有关非技术性总结，请参阅 [`reports/executive-summary.md`](reports/executive-summary.md)。
## 免责声明
Juice Shop 是由 OWASP 专门设计用于学习目的而进行攻击的——解决这些挑战是本应用的预期用途。
这些 Writeup 的存在是为了加深对每种漏洞原理*为什么*生效以及如何在实际应用中预防它的理解，而不是鼓励未经授权测试系统。
# 📸 截图
## 🏠 首页
在本地运行的 OWASP Juice Shop 的主仪表板。
## 🔑 登录页面
用于安全测试和漏洞评估的身份验证页面。
## 🌐 Burp Suite 请求拦截
使用 Burp Suite Proxy 捕获的用于 Web 安全分析的 HTTP 请求。
## 🏆 记分板
显示已完成和剩余挑战的 OWASP Juice Shop 挑战记分板。
## ✅ 已解决的挑战
成功完成安全挑战的示例。
标签：CISA项目, OWASP Top 10, Web安全, 安全培训, 漏洞复现, 网络安全, 网络安全审计, 蓝队分析, 请求拦截, 防御加固, 隐私保护