jeroenwillemsen/addo-example

OWASP WrongSecrets 镜像文档

1. 镜像概述和主要用途

OWASP WrongSecrets 是一个可破解（p0wnable）应用镜像，旨在通过展示多种不当的秘密存储方式，帮助用户识别和理解秘密管理中的常见风险。该镜像模拟了实际应用中可能出现的秘密泄露场景，用户可通过挑战形式，运用各类工具和技术发现隐藏的秘密，从而提升对安全秘密管理实践的认知。

2. 核心功能和特性

• 多场景秘密泄露模拟：集成多种典型的不当秘密存储方式（如硬编码、配置文件明文存储、环境变量暴露等）。
• 交互式挑战模式：设计多层级挑战，用户需通过分析应用行为、代码或系统配置，逐步发现隐藏的秘密。
• 工具与技术适配：支持结合常见安全工具（如静态代码分析、容器检查、运行时监控等）进行实践。
• 开源可扩展：基于OWASP项目，源码开放，可根据需求扩展新的秘密泄露场景或挑战难度。

3. 使用场景和适用范围

适用场景

• 安全培训与教育：用于开发人员、安全测试人员的秘密管理安全意识培训。
• 秘密管理审计演练：模拟真实环境中的风险场景，测试团队对秘密泄露的识别能力。
• 安全工具验证：验证静态分析工具、容器安全扫描工具等对秘密泄露的检测效果。

适用人群

• 开发人员（学习安全编码规范）
• 安全测试工程师（实践漏洞挖掘）
• DevSecOps 工程师（优化CI/CD流程中的秘密管理）
• 安全培训师（构建实操教学环境）

4. 使用方法和配置说明

4.1 快速启动（Docker Run）

通过以下命令直接运行容器：

bash
docker run -d -p 8080:8080 --name wrongsecrets docker.xuanyuan.run/owasp/wrongsecrets

• -p 8080:8080：将容器内8080端口映射到主机8080端口（默认应用端口，具体以实际镜像为准）。
• --name wrongsecrets：指定容器名称为wrongsecrets。

4.2 Docker Compose 配置

创建docker-compose.yml文件，配置如下：

yaml
version: '3'
services:
  wrongsecrets:
    image: docker.xuanyuan.run/owasp/wrongsecrets
    ports:
      - "8080:8080"
    container_name: wrongsecrets
    restart: unless-stopped

启动服务：

bash
docker-compose up -d

4.3 访问应用与挑战开始

容器启动后，通过浏览器访问 http://<主机IP>:8080 进入应用界面。根据页面指引，逐步完成挑战（需通过分析应用行为、检查容器文件系统、监控运行时状态等方式发现隐藏的秘密）。

5. 配置参数和环境变量

当前镜像未提供额外可配置的环境变量或参数。如需自定义挑战难度、添加新场景等高级功能，可参考官方源码仓库进行二次构建。

6. 参考资料

• 官方源码与详细文档：https://github.com/OWASP/wrongsecrets
• OWASP 项目主页：https://owasp.org/www-project-wrongsecrets/