security-testing

安全测试

目录

• 概述
• 适用场景
• 快速入门
• 参考指南
• 最佳实践

概述

安全测试用于识别应用中的漏洞、弱点和威胁，以确保数据安全、防止未授权访问并维护系统完整性。它结合自动化扫描（SAST、DAST）与手动渗透测试和代码审查。

适用场景

• 测试 OWASP Top 10 漏洞
• 扫描依赖项，检查是否存在已知漏洞
• 测试身份验证和授权
• 验证输入清理
• 测试 API 安全性
• 检查敏感数据是否泄露
• 验证安全标头
• 测试会话管理

快速入门

最小可运行示例：

# security_scan.py
from zapv2 import ZAPv2
import time

class SecurityScanner:
    def __init__(self, target_url, api_key=None):
        self.zap = ZAPv2(apikey=api_key, proxies={
            'http': 'http://localhost:8080',
            'https': 'http://localhost:8080'
        })
        self.target = target_url

    def scan(self):
        """Run full security scan."""
        print(f"Scanning {self.target}...")

        # Spider the application
        print("Spidering...")
        scan_id = self.zap.spider.scan(self.target)
        while int(self.zap.spider.status(scan_id)) < 100:
            time.sleep(2)
            print(f"Spider progress: {self.zap.spider.status(scan_id)}%")

        # Active scan
        print("Running active scan...")
// ... (see reference guides for full implementation)

参考指南

references/ 目录中的详细实现：

指南	内容
OWASP ZAP（DAST）	OWASP ZAP（DAST）
SQL 注入测试	SQL 注入测试
XSS 测试	XSS 测试
身份验证与授权测试	身份验证与授权测试
CSRF 防护测试	CSRF 防护测试
依赖漏洞扫描	依赖漏洞扫描
安全标头测试	安全标头测试
密钥检测	密钥检测

最佳实践

✅ 应做

• 在 CI/CD 中运行安全扫描
• 使用真实攻击向量进行测试
• 定期扫描依赖项
• 使用安全标头
• 实施速率限制
• 验证并清理所有输入
• 使用参数化查询
• 全面测试身份验证/授权

❌ 不要做

• 将密钥存储在代码中
• 信任用户输入
• 暴露详细的错误消息
• 跳过依赖项更新
• 使用默认凭据
• 忽略安全警告
• 只测试正常路径
• 提交敏感数据