Web安全测试-OWASP juiceshop 闯关（中）

这门课盯住的是一个具体场景

很多测试同学日常工作里都碰得到这种情况：功能测试跑得挺顺，但一被问到「这个登录接口能不能被爆破」「这个查询参数有没有注入风险」，心里就没底。不是不想学，是安全测试这块知识太散，OWASP Top 10 背了也落不了地，工具装了一堆不知道从哪一步开始动手。

OWASP Juice Shop 正好是用来解决这个断层的靶场。它是一个故意做出一堆漏洞的在线购物站点，涵盖注入、XSS、越权、敏感信息泄露、JWT 伪造等常见问题，每一处漏洞对应一个「关卡」，做出来会给你记分。这门课就是带着你在这套靶场上，用 Burp Suite 2022 社区版一关一关往下打。

所以它解决的不是「安全是什么」这种概念问题，而是「拿到一个真实 Web 应用，我该怎么一步一步找问题」的动手问题。

为什么值得花时间，以及不适合谁

值得的地方在于，Juice Shop 的关卡设计通常是「先观察、再猜、最后验证」的结构，跟真实渗透测试的节奏接近。你被迫去翻前端源码、看请求响应、改参数、重放请求，而不是被动看别人演示。做完一轮，对 HTTP 请求的理解会比做半年功能测试更深。

另外，全程用社区版 Burp Suite，不依赖付费功能，学完在公司电脑上也能复现同样的操作，这一点对预算有限的团队比较友好。

但也要说清楚不适合谁：如果你完全没写过 HTTP 请求、不知道 Cookie 和 Header 的区别、也没做过任何手工接口测试，直接上这个靶场会卡在环境配置和抓包上，挫败感会比较强。建议至少先能用 Postman 或浏览器开发者工具独立发一个带认证的请求，再来看这门课。

学完之后你能独立做什么

• 把 Burp Suite 配置成浏览器代理，抓取并拦截 HTTPS 请求，会看 Repeater 和 Intruder 里的关键信息
• 针对登录、注册、搜索、评论、下单这些典型页面，独立判断是否存在注入、XSS、越权、暴力破解等风险
• 能看懂一个接口返回的 JWT 结构，识别签名未校验、算法可篡改这类问题
• 把发现的问题整理成测试人员能看懂、开发能复现的记录，而不是只截一张图

注意这里说的「独立做什么」是指独立复现和判断，不是让你直接去对生产环境做渗透——那需要授权和更完整的流程，课程本身不覆盖合规和授权部分，这点自己要有数。

资料结构上，中级篇的定位

这是「中」篇，说明它承接了前面的基础内容。资料包围绕 Juice Shop 的关卡推进，配合 Burp 的操作演示。你不必按目录顺序一行行看，更有效的用法是：先自己在靶场里试着解一关，卡住了再翻到对应讲解，看别人的思路和你差在哪一步，然后关上资料重做一遍。

如果某一关你是靠猜答案过的，建议标记出来，过两天不看讲解重做。安全测试真正值钱的是「怎么想到这一步」的推理过程，而不是记住某关的 payload。

给你的学习建议

节奏上，一次不要贪多，两到三关就够了，每关都自己动手改请求、看返回、记笔记。工具只是放大你的判断，判断本身来自对请求和响应的理解。把靶场当练手场，练的是手感，别把它当成背答案的题库——真实项目里没有提示，只有你自己。