owasp-top-10-testing

针对 OWASP Top 10 进行测试

OWASP Top 10 是风险类别的分类法，而不是测试套件——“OWASP Top 10 测试”是指针对真实应用逐一测试每个类别，并报告实际可利用的问题。Strix 的 Agent 负责利用漏洞；本技能涵盖如何按类别运行测试，并如实报告覆盖情况。

使用当前版本：OWASP Top 10:2025（第 8 版，取代 2021 版）。若要针对旧版测试，请先询问用户——一些合规检查清单仍然引用 2021 版，而使用错误版本标注的报告会造成误导。与 2021 版相比的主要变化：SSRF 并入 A01，A03 软件供应链失效扩展了旧版的“易受攻击和过时的组件”，A10 异常情况处理不当为新增类别；A02 安全配置错误从第 5 位升至第 2 位。

安装、LLM 设置和托管云替代方案：penetration-testing-with-strix。如果要在不使用 Docker 和 LLM 密钥的情况下运行，可用同一个二进制文件驱动托管平台：strix cloud login，然后运行 strix cloud scans start ...（详情见 managed-pentesting-with-strix）。

Agent 可以和不可以测试的内容

请向用户如实说明这一点——声称已全面检查全部 10 个类别会造成误导。

类别（2025）	覆盖情况
A01 访问控制失效（含 SSRF）	强——跨用户／租户访问、权限提升、IDOR 和 SSRF（包括通过带外回调验证的盲 SSRF）均会经过利用验证。需要两个账户和一个特权账户，才能验证授权方面的问题。
A02 安全配置错误	强——调试端点、详细错误信息、过于宽松的 CORS、缺少安全加固、默认凭据和暴露的管理界面。
A03 软件供应链失效	部分——版本指纹识别，以及在提供源代码时审查易受攻击或过时的依赖项。构建系统和分发基础设施遭到入侵（本类别范围更广的另一部分）不属于运行时扫描范围——应搭配 SCA 和构建溯源控制。
A04 加密失效	部分——传输配置、传输中的未加密数据，以及响应中泄露的机密信息和令牌。静态数据加密和密钥管理需要审查源代码或基础设施。
A05 注入	强——SQL／NoSQL／命令／模板注入和 XSS，均经过利用验证。
A06 不安全设计	部分——在可触达的情况下，可发现业务逻辑滥用（价格／数量篡改、跳过工作流、竞态条件）；设计意图仍需人工审查和威胁建模。
A07 身份验证失效	强——身份验证绕过、薄弱的会话／令牌处理、密码重置和 MFA 缺陷。
A08 软件或数据完整性失效	部分——在可触达的情况下，可发现不安全的反序列化和未签名更新路径；CI/CD 信任边界无法通过运行时测试。
A09 安全日志记录和告警失效	无法从外部测试——需要审查日志记录和告警管道。应明确说明这一点，而不是报告为已通过。
A10 异常情况处理不当	部分——Agent 会主动探测错误处理和故障时默认放行行为（格式错误的输入、强制错误、竞态和超时情况），并报告泄露的信息或被绕过的控制；要全面覆盖内部错误路径，需要审查源代码。

对于 API，请针对 **OWASP API Security Top 10（2023）**执行相同测试——API1 BOLA、API3 对象属性级授权失效（2019 版的过度数据暴露和批量赋值合并而成）、API5 函数级授权失效——使用 api-security-testing 技能。

运行

要最大限度覆盖各类别，请同时向 Agent 提供源代码和运行中的实例，并提供两个不同权限级别的凭据：

strix -n \
  -t https://github.com/org/app \
  -t https://staging.example.com \
  --scan-mode deep --max-budget 30 \
  --instruction "OWASP Top 10:2025 assessment. Cover every category systematically and map each finding to its 2025 category id.
Accounts: [email protected]/<pw> (org 1), [email protected]/<pw> (org 2), [email protected]/<pw>.
Prioritise A01 (cross-org access, privilege escalation, SSRF), A02, A05, A07, A10.
Out of scope: /billing/*, outbound email."

• 此处的 --scan-mode deep 很重要：系统地遍历十个类别并不是快速扫描。
• 没有第二个账户，A01 的结果在结构上就不完整——请在报告中明确说明，而不要让这一点被忽略。
• 需要面向审计人员的 PDF？通过托管平台运行，并获取技术报告（managed-pentesting-with-strix）。

如实报告

从 strix_runs/<run>/ 中按类别归纳 vulnerabilities/*.md，并针对每个类别说明：尝试了什么、证实了什么，以及哪些内容无法评估（A09 始终如此；A03/A04/A06/A08/A10 部分如此）。在报告中标明所用版本。将任何 PoC 提交给用户之前，都要亲自验证。

退出代码为 0 并不意味着在已分析的范围内证明了可利用的问题——请检查 run.json 状态和费用是否超过 --max-budget；因预算上限而停止的运行并不算完成了评估。

然后修复并重新测试

使用 fix-security-vulnerabilities-with-strix 修复问题，然后重新运行，以证明每项漏洞利用都已失效。若要在应用变更时持续覆盖，请使用 ci-security-scanning-with-strix 为拉取请求设置检查门禁。