OWASP

 

---

📌 基本概况

项目	内容
全称	Open Worldwide Application Security Project
中文名	开放式全球应用安全项目
成立时间	2001年9月9日
创始人	Mark Curphey
组织性质	美国 501(c)(3) 非营利组织
总部	美国马里兰州 Annapolis
官网	owasp.org
GitHub	github.com/OWASP
全球章节	250+ 个
年度预算	约 300 万美元
运营模式	完全开放，所有资料免费获取

---

🏛️ 组织架构

text

OWASP 组织架构
│
├── 董事会 (Board of Directors)
│   ├── 由社区选举产生
│   ├── 7名成员
│   └── 负责战略决策
│
├── 执行总监 (Executive Director)
│   └── 负责日常运营
│
├── 全球委员会
│   ├── 章节委员会 (Chapter Committee)
│   ├── 项目委员会 (Project Committee)
│   ├── 教育培训委员会 (Education & Training Committee)
│   └── 活动委员会 (Events Committee)
│
├── 全球章节 (Local Chapters)
│   ├── 北美地区
│   ├── 欧洲地区
│   ├── 亚太地区
│   ├── 拉丁美洲
│   └── 中东/非洲
│
└── 项目组 (Projects)
    ├── 旗舰项目 (Flagship)
    ├── 生产项目 (Production)
    ├── 实验室项目 (Lab)
    └── 孵化项目 (Incubator)

---

🎯 核心使命与原则

使命

"通过开放社区的力量，使应用软件更加安全"

核心原则

原则	说明
免费开放	所有材料免费提供，无需注册
厂商中立	不推荐任何商业产品
透明公开	财务和运营完全透明
社区驱动	由全球志愿者贡献维护
创新实践	鼓励新思想和试验

---

🌟 核心项目详解

1️⃣ OWASP Top 10（最知名）

Web 应用安全 Top 10（2021版）

排名	漏洞类型	说明	典型案例
A01	权限控制失效	用户越权访问	水平/垂直越权
A02	加密失败	敏感数据未加密	明文存储密码
A03	注入攻击	恶意代码注入	SQL注入、XSS
A04	不安全设计	设计阶段安全缺失	缺少威胁建模
A05	安全配置错误	默认配置不安全	默认密码、目录遍历
A06	过时的组件	使用有漏洞的依赖	Log4Shell事件
A07	认证失败	身份验证缺陷	弱密码、会话固定
A08	完整性故障	软件/数据完整性问题	不安全的反序列化
A09	日志监控不足	无法检测安全事件	缺少审计日志
A10	SSRF	服务端请求伪造	云元数据接口攻击

OWASP Top 10 历史版本对比

text

2004版 → 首次发布，10个类别
2007版 → 更新威胁模型
2010版 → 引入风险评级方法
2013版 → 增加CSRF等新威胁
2017版 → 新增XXE、不安全反序列化
2021版 → 当前最新版，重组分类体系

其他 Top 10 系列

系列	发布年份	目标场景
OWASP API Security Top 10	2019/2023	API接口安全
OWASP Mobile Top 10	2016/2023	移动应用安全
OWASP Cloud-Native Top 10	2022	云原生应用安全
OWASP LLM Top 10	2023	大语言模型安全
OWASP Kubernetes Top 10	2022	K8s容器安全
OWASP CI/CD Top 10	2022	DevOps流水线安全
OWASP Docker Top 10	2020	Docker容器安全
OWASP IoT Top 10	2018	物联网设备安全

---

2️⃣ OWASP ZAP（核心工具）

text

ZAP (Zed Attack Proxy)
│
├── 基本信息
│   ├── 类型：Web应用渗透测试工具
│   ├── 语言：Java
│   ├── 许可：Apache 2.0
│   └── 平台：Windows/Linux/macOS
│
├── 核心功能
│   ├── 主动扫描 (Active Scan)
│   ├── 被动扫描 (Passive Scan)
│   ├── 拦截代理 (Intercepting Proxy)
│   ├── 蜘蛛爬虫 (Spider/AJAX Spider)
│   ├── 模糊测试 (Fuzzer)
│   ├── 强制浏览 (Forced Browse)
│   └── 脚本支持 (Script Console)
│
├── 集成能力
│   ├── REST API 支持
│   ├── CI/CD 集成（Jenkins/GitHub Actions）
│   ├── Docker 镜像
│   └── 命令行模式
│
└── 扩展插件
    ├── 主动扫描规则
    ├── 被动扫描规则
    ├── 报告插件
    └── 认证插件

---

3️⃣ OWASP WSTG（测试指南）

Web Security Testing Guide

章节	内容
信息收集	目标侦察、指纹识别
配置管理测试	服务器配置、文件扩展名
身份管理测试	用户枚举、账户策略
认证测试	密码策略、暴力破解
授权测试	目录遍历、权限提升
会话管理测试	Cookie属性、CSRF
输入验证测试	XSS、SQL注入、XXE
错误处理测试	错误信息泄露
密码学测试	弱加密、证书问题
业务逻辑测试	工作流绕过
客户端测试	DOM注入、点击劫持
API测试	REST/GraphQL安全

---

4️⃣ OWASP ASVS（验证标准）

Application Security Verification Standard

text

ASVS 三个验证级别
│
├── Level 1（基础级）
│   ├── 适用对象：所有软件
│   ├── 测试方式：黑盒测试
│   └── 要求：最基本安全控制
│
├── Level 2（标准级）
│   ├── 适用对象：处理敏感数据的应用
│   ├── 测试方式：灰盒测试
│   └── 要求：大多数应用的推荐标准
│
└── Level 3（高级级）
    ├── 适用对象：关键基础设施、军事、医疗
    ├── 测试方式：白盒测试
    └── 要求：最高安全保障

ASVS 控制域

域编号	控制域	要求数量
V1	架构、设计和威胁建模	14
V2	认证	56
V3	会话管理	17
V4	访问控制	16
V5	验证/净化/编码	28
V6	存储密码学	17
V7	错误处理和日志	18
V8	数据保护	22
V9	通信安全	22
V10	恶意代码	11
V11	业务逻辑	8
V12	文件和资源	24
V13	API和Web服务	24
V14	配置	22

---

5️⃣ OWASP SAMM（安全成熟度模型）

Software Assurance Maturity Model

text

SAMM 业务功能
│
├── 治理 (Governance)
│   ├── 战略与度量
│   ├── 策略与合规
│   └── 教育与指导
│
├── 设计 (Design)
│   ├── 威胁评估
│   ├── 安全需求
│   └── 安全架构
│
├── 实现 (Implementation)
│   ├── 安全构建
│   ├── 安全部署
│   └── 缺陷管理
│
├── 验证 (Verification)
│   ├── 架构评估
│   ├── 需求驱动测试
│   └── 安全测试
│
└── 运营 (Operations)
    ├── 事件管理
    ├── 环境管理
    └── 运营管理

成熟度等级

等级	描述
Level 0	没有任何安全实践
Level 1	初步理解并执行安全实践
Level 2	提高效率和有效性
Level 3	全面掌握，持续改进

---

6️⃣ 其他重要项目

工具类

项目名称	用途	语言/技术
Dependency-Check	检测依赖库已知漏洞	Java
DefectDojo	漏洞管理平台	Python/Django
Juice Shop	漏洞靶场（学习用）	Node.js
WebGoat	安全培训平台	Java
Amass	网络资产侦察	Go
OWTF	渗透测试框架	Python
Nettacker	自动化渗透测试	Python
WrongSecrets	密钥安全训练平台	Java
SecurityShepherd	安全培训平台	Java
Coraza WAF	Web应用防火墙	Go

知识库类

项目名称	用途
Cheat Sheet Series	安全开发备忘单（60+份）
Testing Guide (WSTG)	Web安全测试指南
Code Review Guide	代码审查指南
Mobile Security Guide	移动安全测试指南
DevSecOps Guideline	DevSecOps实施指南
API Security Project	API安全指南
Cloud Security Guide	云安全指南
Threat Dragon	威胁建模工具
CycloneDX	软件物料清单(SBOM)

---

📅 OWASP Top 10 API Security（2023版）

排名	漏洞类型	说明
API1	对象级授权失效	BOLA/IDOR漏洞
API2	认证失效	身份验证机制缺陷
API3	对象属性级授权失效	批量赋值漏洞
API4	资源消耗不受限	DoS/限速缺失
API5	功能级授权失效	水平/垂直越权
API6	敏感业务流程不受限	自动化攻击
API7	服务端请求伪造	SSRF
API8	安全配置错误	错误配置
API9	库存管理不当	过时API版本
API10	API不安全使用	第三方API风险

---

📅 OWASP LLM Top 10（2023版）

排名	漏洞类型	说明
LLM01	提示注入	操控LLM行为
LLM02	不安全输出处理	XSS/SSRF等
LLM03	训练数据投毒	污染训练数据
LLM04	模型拒绝服务	资源耗尽攻击
LLM05	供应链漏洞	第三方组件风险
LLM06	敏感信息泄露	数据隐私泄露
LLM07	不安全插件设计	插件权限滥用
LLM08	过度代理	自主行为失控
LLM09	过度依赖	盲目信任LLM输出
LLM10	模型盗窃	模型知识产权侵犯

---

🌏 全球章节分布

中国章节

章节名称	城市	活跃状态
OWASP Beijing	北京	活跃
OWASP Shanghai	上海	活跃
OWASP Shenzhen	深圳	活跃
OWASP Chengdu	成都	活跃
OWASP Hong Kong	香港	活跃
OWASP Taiwan	台湾	活跃
OWASP Guangzhou	广州	活跃
OWASP Hangzhou	杭州	成长中

全球主要章节

text

北美地区
├── New York
├── San Francisco
├── Los Angeles
├── Chicago
└── Toronto

欧洲地区
├── London
├── Amsterdam
├── Berlin
├── Paris
└── Dublin

亚太地区
├── Singapore
├── Tokyo
├── Seoul
├── Sydney
└── Mumbai

---

🎓 教育与培训

官方培训资源

资源	类型	费用
OWASP WebGoat	交互式学习平台	免费
OWASP Juice Shop	靶场练习	免费
OWASP SKF	安全知识框架	免费
OWASP Security Shepherd	CTF风格训练	免费
OWASP WrongSecrets	密钥安全培训	免费

认证体系

text

OWASP 相关认证
├── GWEB (GIAC Web Application Defender)
├── CSSLP (Certified Secure Software Lifecycle Professional)
├── CEH (与OWASP内容高度相关)
└── OSCP (实战渗透，常用OWASP方法论)

---

💰 资金来源

来源	占比	说明
企业会员费	~40%	金/银/铜牌会员
个人会员费	~15%	年费50美元
活动赞助	~25%	AppSec会议等
捐款	~10%	个人/企业捐款
培训收入	~10%	付费培训课程

企业会员等级

等级	年费	权益
白金会员	$80,000+	最高曝光度+董事会席位
金牌会员	$40,000	高曝光度+优先赞助
银牌会员	$20,000	中等曝光度
铜牌会员	$10,000	基础曝光度
初创企业	$2,000	小型企业优惠

---

📅 重要活动

全球峰会

活动名称	频率	规模
AppSec Global	每年1-2次	2000+人
AppSec EU	每年1次	欧洲地区
AppSec APAC	每年1次	亚太地区
AppSec Days	各章节自办	本地规模
OWASP Summit	不定期	工作组峰会

重要节点

text

时间线
│
├── 2001年 → OWASP 成立
├── 2003年 → 第一个 Top 10 草稿
├── 2004年 → Top 10 正式发布
├── 2008年 → OWASP 全球峰会
├── 2013年 → Top 10 重大更新
├── 2017年 → Top 10 2017版
├── 2019年 → API Security Top 10 发布
├── 2021年 → Top 10 最新版发布
├── 2023年 → LLM Top 10 发布
└── 2023年 → API Security Top 10 更新

---

🔧 OWASP Cheat Sheet Series 精选

备忘单名称	适用场景
SQL Injection Prevention	SQL注入防御
XSS Prevention	跨站脚本防御
Authentication	身份认证最佳实践
Session Management	会话管理
CSRF Prevention	跨站请求伪造防御
Password Storage	密码安全存储
Input Validation	输入验证
Cryptographic Storage	加密存储
TLS/SSL	传输层安全
Docker Security	容器安全
Kubernetes Security	K8s安全
JWT Security	JWT令牌安全
OAuth 2.0	OAuth安全实践
GraphQL	GraphQL API安全
Microservices Security	微服务安全

---

🤝 如何参与 OWASP

text

参与路径
│
├── 1. 加入本地章节
│   └── meetup.com 搜索 OWASP + 城市名
│
├── 2. 贡献项目
│   ├── GitHub 提交 PR
│   ├── 翻译文档（中文化）
│   └── 报告问题/建议
│
├── 3. 成为会员
│   ├── 个人会员：$50/年
│   ├── 学生会员：$20/年
│   └── 终身会员：$500
│
├── 4. 参加活动
│   ├── 本地章节会议（免费）
│   ├── AppSec 全球大会
│   └── 在线网络研讨会
│
├── 5. 主导项目
│   ├── 提交新项目提案
│   ├── 成为项目领导者
│   └── 组建工作组
│
└── 6. 企业参与
    ├── 企业会员赞助
    ├── 活动冠名赞助
    └── 内部安全培训

---

📊 影响力与应用

被引用场景

场景	说明
PCI DSS	支付行业安全标准引用OWASP
ISO 27001	信息安全管理体系参考
NIST	美国国家标准引用
等保2.0	中国网络安全等级保护参考
企业安全基线	全球数万家企业采用
渗透测试报告	行业标准漏洞分类依据
安全培训课程	全球各大安全培训机构使用
招聘要求	安全岗位常见技能要求

---

🔗 重要资源链接

资源	地址
官网	owasp.org
GitHub	github.com/OWASP
Top 10	owasp.org/Top10
ZAP 工具	zaproxy.org
Juice Shop	owasp.org/www-project-juice-shop
Cheat Sheets	cheatsheetseries.owasp.org
WSTG	owasp.org/www-project-web-security-testing-guide
ASVS	owasp.org/www-project-application-security-verification-standard
章节查找	owasp.org/chapters
加入会员	owasp.org/membership

---

🔐 总结：OWASP 是全球应用安全领域最权威、影响力最大的非营利开源社区，其 Top 10 系列已成为行业事实标准，ZAP 等工具被全球数百万安全从业者使用。无论是开发者、安全工程师还是企业安全团队，OWASP 都是不可或缺的重要参考资源。