SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场owasp-top-10

owasp-top-10

安全与审计

查看项目

更新于 10-14 07:29

技能介绍

用途

OWASP Top 10 安全技能用于识别、预防和修复最关键的 Web 应用安全风险，依据 OWASP Top 10 2021 标准提供专家级指导。它适合在开展安全审计与代码审查、在新功能中落实安全编码实践、评审身份认证与授权系统、评估输入验证与净化、评估第三方依赖漏洞、设计安全控制和纵深防御策略、准备安全认证或合规审计、调查安全事件或可疑行为时使用。

主要能力

  • 覆盖 OWASP Top 10 2021 十大风险类别，并按风险严重程度排列：A01 访问控制失效、A02 加密失败（原敏感数据暴露）、A03 注入、A04 不安全设计（新增）、A05 安全配置错误、A06 易受攻击和过时的组件、A07 身份认证失败、A08 软件和数据完整性失败（新增）、A09 安全日志和监控失败、A10 服务端请求伪造 SSRF（新增）。
  • 为每类漏洞提供详细参考文件，包括 broken-access-control、cryptographic-failures、injection、insecure-design、security-misconfiguration、vulnerable-components、authentication-failures、integrity-failures、logging-monitoring、ssrf，以及 prevention-strategies 和 assessment-workflow。
  • 提供安全审计工作流：确定范围（应用组件与攻击面）、选择漏洞类别（依据功能选择相关 OWASP 类别）、加载参考文件、分析代码（对照易受攻击与安全模式）、记录发现（含严重性与修复建议）、验证修复、运行自动化安全测试（SAST、DAST、SCA）。
  • 强调核心安全原则：纵深防御（在网络、应用、数据和监控层设置安全控制，确保单一控制失效不会危及整个系统）；默认安全（默认拒绝所有访问、显式授予权限、安全失败、最小化攻击面、最小权限）；输入验证（验证类型、长度、格式和允许值，使用允许列表而非拒绝列表，按特定上下文净化，绝不信任客户端输入）。
  • 列出常见错误：信任用户输入、自造加密、暴露错误、缺少授权检查、弱会话管理、忽视依赖、缺少日志、默认配置。
  • 提及安全测试工具类别：SAST（SonarQube、Semgrep、ESLint 安全插件）、DAST（OWASP ZAP、Burp Suite）、SCA（npm audit、Snyk、Dependabot）、密钥扫描（GitGuardian、TruffleHog）、渗透测试（Metasploit、Kali Linux 工具）。
  • 提供资源链接：OWASP Top 10 2021（https://owasp.org/Top10/）、OWASP Cheat Sheets（https://cheatsheetseries.owasp.org/）、OWASP ASVS、CWE Top 25、NIST Cybersecurity Framework（https://www.nist.gov/cyberframework）、CVE Database（https://cve.mitre.org/）、Snyk Vulnerability DB（https://snyk.io/vuln/）。

使用方式

该技能针对每类漏洞提供参考文件，例如：Broken Access Control 对应 skills/owasp-top-10/references/broken-access-control.md；Cryptographic Failures 对应 skills/owasp-top-10/references/cryptographic-failures.md；Injection 对应 skills/owasp-top-10/references/injection.md；Insecure Design 对应 skills/owasp-top-10/references/insecure-design.md；Security Misconfiguration 对应 skills/owasp-top-10/references/security-misconfiguration.md；Vulnerable Components 对应 skills/owasp-top-10/references/vulnerable-components.md；Authentication Failures 对应 skills/owasp-top-10/references/authentication-failures.md；Integrity Failures 对应 skills/owasp-top-10/references/integrity-failures.md；Logging & Monitoring 对应 skills/owasp-top-10/references/logging-monitoring.md；SSRF 对应 skills/owasp-top-10/references/ssrf.md；Prevention Strategies 对应 skills/owasp-top-10/references/prevention-strategies.md；Assessment Workflow 对应 skills/owasp-top-10/references/assessment-workflow.md。使用时按审计工作流依次执行：确定范围、选择漏洞类别、加载参考文件、分析代码、记录发现、验证修复、运行安全测试。

适用场景

适用于安全审计与代码审查、安全编码实践落地、身份认证与授权系统评审、输入验证与净化评估、第三方依赖漏洞评估、安全控制和纵深防御设计、安全认证或合规审计准备、安全事件或可疑行为调查。

限制

资料未提供该技能的具体安装命令、收费模式、价格、平台支持范围、实际使用效果或具体运行步骤。以上内容仅为资料中明确提及的信息，未提及的事实暂未提供。