资本（Capital）：一个基于OWASP Top 10 API安全漏洞的学习平台

资本（Capital）：一个基于OWASP Top 10 API安全漏洞的学习平台

capital A built-to-be-vulnerable API application based on the OWASP top 10 API vulnerabilities. Use c{api}tal to learn, train and exploit API Security vulnerabilities within your own API Security CTF. 项目地址: https://gitcode.com/gh_mirrors/ca/capital

项目介绍

资本（Capital）是由Checkmarx的研究团队开发的一个脆弱的API应用程序，专为教育目的而设计。它模拟了OWASP（开放网络应用安全项目）列出的十大API风险，提供了一个实际操作的环境，使用户能够学习、训练，并且在自己的API安全攻防演练（CTF）中利用这些安全漏洞。该应用采用Python（FastAPI框架）和JavaScript（React库）构建，适合开发者进行API安全性研究和实战练习。

项目快速启动

使用Docker快速部署

对于希望快速上手的用户，你可以通过Docker Compose来一键部署整个应用：

docker-compose up -d

这将分别启动后端服务和前端界面。后端可以在http://localhost:8000/访问，前端则位于http://localhost:4100/。API文档页面位于http://localhost:8000/docs，方便查看和测试接口。

若要通过POSTMAN生成请求，可以从项目中下载API的JSON规格文件并导入。

本地手动部署步骤

1. 克隆仓库：

   git clone https://github.com/Checkmarx/capital.git
   

2. 安装依赖： 进入项目目录并安装Python依赖。

   cd capital
   pip install -r requirements.txt
   

3. 配置环境变量及数据库（以PostgreSQL为例）： 设置相关环境变量，并创建数据库。

4. 运行应用： 创建.env文件设置环境变量后，运行后端服务器。

   touch .env
   echo "APP_ENV=dev" >> .env
   echo "DATABASE_URL=postgresql://postgres:postgres@localhost:5432/rwdb" >> .env
   echo "SECRET_KEY=$(openssl rand -hex 32)" >> .env
   python3 main.py
   

应用案例和最佳实践

资本项目最适合用于以下几个场景：

• 安全培训：组织可以利用Capital作为内部培训工具，教授开发者识别和修复API相关的安全漏洞。
• 渗透测试实践：安全研究人员可以通过这个平台练习其攻击技巧，并理解防御机制。
• 课程教学：大学或在线课程中的网络安全部分可以使用此项目作为教学辅助，让学生亲身体验安全挑战。

最佳实践：

• 开始前，熟悉OWASP API安全指南，了解每个漏洞的背景知识。
• 在实验过程中，记录下每一步攻击的细节以及如何防止此类攻击的方法。
• 利用Capital提供的API文档，系统地测试每一个接口，确保理解和利用好每个已知的安全漏洞点。

典型生态项目

虽然Capital本身是独立的，但它的存在促进了API安全社区的发展。用户可将其与其他安全工具如Burp Suite、OWASP ZAP或是自动化安全测试脚本结合，以增强安全评估的深度和广度。此外，对于那些想要深入学习API安全领域的开发者而言，Capital可作为一个跳板，引导他们探索像OWASP Juice Shop这样的更全面的安全训练环境，或参考其他基于FastAPI和React构建的成熟应用来学习最佳实践。

---

通过遵循上述步骤，开发者和安全专业人员可以有效地利用Capital项目提升他们的技能，同时为保护现代Web应用的API安全做出贡献。

capital A built-to-be-vulnerable API application based on the OWASP top 10 API vulnerabilities. Use c{api}tal to learn, train and exploit API Security vulnerabilities within your own API Security CTF. 项目地址: https://gitcode.com/gh_mirrors/ca/capital