Web安全测试-OWASP juiceshop 闯关（中）

这门课解决的是“会点安全，但卡在半路”的问题

如果你已经知道 SQL 注入和 XSS 是什么，能在 DVWA 上照着教程点几步，但换到真实一点的目标就不知道从哪儿下手——这门课就是冲这个缺口来的。它不铺安全理论，也不从 HTTP 状态码讲起，而是直接拿 OWASP Juice Shop 的中段关卡做靶子，用 Burp Suite 2022 社区版当主力工具，一关一关地拆。

“中”这个定位很关键。Juice Shop 的关卡难度跨度不小，前半段偏送分，后半段要写脚本、绕防护。这一部分的题目开始要求你理解业务逻辑，而不是套 Payload。如果你之前靠复制粘贴过关，到这里会明显感到吃力。

你需要先补上的几个能力缺口

在打开这门课之前，建议先自查下面几项。缺哪一项，就在对应的地方多停一停：

• Burp 的基本操作是否形成肌肉记忆：Proxy 抓包、Repeater 改包、Intruder 跑字典，这三件事如果还要边看笔记边点，闯关会变成工具教学，注意力全被界面吃掉。
• 能不能看懂请求背后的业务含义：Juice Shop 的很多中段关卡，突破口不在参数格式，而在于“这个接口本来该不该让当前用户调用”。看不出业务规则，就找不到越权的入口。
• 对认证与授权有没有分开理解：登录成功不等于有权限，能改自己的资料不等于能改别人的。这两条分不清，后面的越权类关卡会一直卡。
• 是否愿意手动改请求而不是全交给扫描器：社区版 Burp 没有那些一键化的高级模块，这反而逼你把请求看仔细。

这几项不是硬门槛，但缺得越多，闯关时越容易变成“看答案—抄步骤—下一关”，练不到东西。

跟着做的时候，重点观察什么

中段关卡大致集中在几类思路上：越权访问、参数篡改、验证逻辑绕过、以及需要组合多个请求才能凑出结果的多步操作。它们共同的特点是——单看某一个请求都“没问题”，问题出在请求与请求之间的关系上。

所以每过一关，别急着庆祝。回头问自己三个问题：这关的漏洞属于哪一类？如果目标系统把参数名换掉、把接口路径改一改，我还能不能复现同样的思路？我这次是靠猜中的，还是靠推理定位的？能回答清楚，这一关才算真过。

Burp 社区版在这一阶段够用，但要注意它不支持保存项目，闯关过程里的请求历史需要自己留意留存方式，否则一关做完想回头对照就麻烦了。

看完应该能回答的问题

• 面对一个没见过的接口，我第一步会去看什么，而不是先试什么 Payload？
• 怎样判断一个功能点是“认证问题”还是“授权问题”，两者的验证手法差别在哪？
• 一个请求单独看都合法，却组合出了不该有的效果，这种场景我怎么发现？
• 同一个越权漏洞，换一种参数传递方式还成立吗？我凭什么这么判断？
• 我能否不看记录，凭印象复述出最近三关的突破点分别落在哪个环节？

如果这些问题你答得磕磕绊绊，说明你过的关还不够扎实，建议把对应的关卡重做一遍，这次不参考任何步骤。

配套怎么练

课程本身依托 Juice Shop，所以练习环境不用另搭，本地起一个实例即可。练的时候有两个建议：一是每关先自己限时，超过二十分钟没有方向再去看提示，逼自己形成排查顺序；二是过完一关后，把整个请求链路在纸上画一遍，标出你在哪一步动了手脚，这一步为什么能生效。

另外，中段关卡开始出现需要重复请求、需要观察响应差异的题目。这类题目手点会很痛苦，可以顺手了解一点 Burp 的 Intruder 配置和简单的请求重放技巧，但不要过度依赖自动化——这个阶段的目的是看懂逻辑，不是跑通工具。

这门课适合已经摸过安全测试、想从“照着做”转向“自己找”的人。如果你连抓包都还不熟，建议先把前面的基础部分补上再回来。