mcpField
O
owasp-top10-analysis

owasp-top10-analysis

github.com/securityskills安全0606 次安装9 周前更新
代码仓库

关于 owasp-top10-analysis

按 OWASP Top 10（2021）类别组织的 Web 应用审查清单，帮助安全审查人员记录证据、复现步骤、严重程度和修复方案，并注明已验证的阴性结果。

主要功能

  1. 01覆盖全部十个类别
  2. 02访问控制与注入测试提示
  3. 03身份验证与加密检查
  4. 04日志与 SSRF 审查提示
  5. 05记录发现证据与复现步骤
  6. 06注明已验证的阴性结果

适用场景

  1. 01组织 Web 应用安全审查
  2. 02检查端点的访问控制缺陷
  3. 03审查 URL 抓取功能中的 SSRF
  4. 04记录发现项与修复措施

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/securityskills/skills --skill owasp-top10-analysis

安装后在 Claude Code 中输入/owasp-top10-analysis确认已加载。

详细介绍

OWASP Top 10 分析

按类别逐一检查 Web 应用，确保没有遗漏。

2021 年分类检查清单

A01 访问控制失效
  • 测试 IDOR：在两个测试账号之间替换标识符（用户 ID、UUID、文件名）
  • 验证每个端点都在服务器端强制执行访问控制，而不只是通过 UI 隐藏
  • 尝试 HTTP 方法覆盖、ID 中的路径遍历，以及更新个人资料时的批量赋值
  • 注销或降低角色权限后，尝试强制访问管理路由
A02 加密机制失效
  • 确认仅使用 TLS 1.2+，且已启用 HSTS
  • 查找明文协议、硬编码密钥，以及用于密码的弱哈希（MD5/SHA1）
  • 密码使用 bcrypt/argon2 和每用户独立盐值进行哈希；客户端资源包中不包含密钥
A03 注入
  • SQL/NoSQL/ORM 注入：验证是否使用参数化查询；测试排序、筛选和顺序参数，而不只是搜索参数
  • 文件上传/文件名处理、图像处理和 PDF 生成器中的 OS 命令注入
  • 邮件/渲染功能中的标头注入、模板注入（SSTI）
A04 不安全设计
  • 滥用业务逻辑：负数量、货币混淆、积分/优惠券的竞态条件
  • 信任边界违规：由客户端计算价格、未签名的折扣令牌
A05 安全配置错误
  • 调试模式、默认凭据、详细错误信息、目录列表
  • 启用了不必要的功能（PUT、TRACE）、过于宽松的 CORS（* 且允许凭据）
A06 易受攻击的组件
  • 对照已知 CVE 检查 SBOM；标记未受管理/已结束生命周期的依赖项
  • 也检查客户端库（npm audit / Retire.js 信号）
A07 身份验证失效
  • 防御凭据填充攻击（速率限制、MFA）、会话固定、弱密码策略
  • 会话令牌：登录时轮换、注销时失效，并设置 secure/httpOnly 标志
  • MFA 绕过流程：重置、备用代码、OAuth 账号关联
A08 软件和数据完整性失效
  • 未签名更新/反序列化不可信数据（选择目标：memcached、JWT、文件解析器）
  • CI/CD 流水线：固定依赖项、验证来源证明
A09 日志记录和监控不足
  • 记录身份验证事件、访问控制拒绝和输入验证失败，并包含上下文信息
  • 日志中不包含密码/令牌；针对暴力破解设有告警
A10 SSRF
  • 任何获取 URL 的功能（webhook、导入器、预览生成器）：测试 localhost、链路本地地址（169.254.169.254）、IPv6 对应地址、DNS 重绑定
  • 在服务器端强制执行方案和重定向处理

输出

每项发现包括：类别、证据、复现步骤、严重程度、修复方案。按类别记录已验证的未发现问题，作为覆盖范围的证据。

评论

支持 Markdown