Ubuntu 上 Node.js 安全测试实操清单
一 测试环境与靶场搭建
- 建议在隔离环境（如虚拟机或容器）进行安全测试，避免影响生产。
- 使用开源靶场 DVNA（Damn Vulnerable Node Application） 进行练习，它包含常见 Web 漏洞与分级挑战，便于系统化验证你的测试流程与工具链。部署步骤示例：
- 安装 git 与 nvm，使用 nvm 安装 Node.js 5.3.0（DVNA 示例要求）。
- 克隆并启动：git clone https://github.com/quantumfoam/DVNA.git && cd DVNA/ && npm install express
- 启动示例漏洞模块：node vulnerabilities/command_injection.js
- 访问：http://localhost:6666（仅限本地或受控环境）。
- 合规提示：仅在授权目标或本地实验环境开展测试，严禁用于未授权系统。
二 依赖与代码层面的安全测试
- 依赖漏洞扫描
- 使用 npm audit / npm audit fix 检查并修复依赖漏洞；配合 Snyk 持续监测依赖风险与许可证合规。
- 使用 OWASP Dependency-Check 做软件组成分析（SCA），识别依赖与 CVE 的关联。
- 使用 Retire.js 检测项目中使用了已知漏洞的前端/Node 依赖（支持 CLI、Grunt、浏览器扩展、Burp/ZAP 插件）。
- 使用 NodeJsScan 对 Node.js 项目进行静态安全扫描，可集成 CI/CD。
- 使用 OSS Index 查询组件安全状态，或在 CI 中自动评估依赖健康度。
- 使用 WhiteSource Renovate 自动创建依赖升级 PR，降低漏洞暴露窗口。
- 代码质量与安全规则
- 使用 ESLint / TSLint 与安全规则集进行静态代码分析，提前发现不安全用法与潜在缺陷。
- 参考 OWASP Node.js 安全速查表 落实输入校验、错误处理、权限控制等安全编码规范。
三 运行时的动态与渗透测试
- 本地/容器化运行应用，使用 npm start 或 node app.js 启动服务，避免以 root 运行 Node 进程。
- 动态应用安全测试（DAST）
- 使用 Acunetix 对目标站点进行自动化扫描，覆盖 3000+ 漏洞类型，支持 HTML/JavaScript/SPA/Web 服务。
- 使用 OWASP ZAP 进行主动/被动扫描，结合浏览器插件与代理拦截请求，发现注入、XSS、配置缺陷等。
- 专项与手工验证
- 针对 命令注入、原型污染、模板注入、路径遍历、身份验证与会话管理 等高风险场景编写 PoC 验证。
- 在渗透测试流程中，先进行信息收集（端口/服务/目录），再进行代码审计与接口测试，最后验证提权与横向移动路径。
四 日志监控与告警验证
- 日志采集与留存
- 使用 Winston / Morgan 记录请求、响应、错误与关键业务事件，确保可追溯性。
- 将日志接入 ELK Stack（Elasticsearch/Logstash/Kibana） 或 Splunk，便于检索与可视化。
- 入侵行为识别
- 配置 express-rate-limit 等限流中间件，配合日志分析识别暴力破解、爬虫与异常高频请求。
- 在 SIEM 中设置规则对可疑事件（如频繁 4xx/5xx、异常 UA、命令注入特征）进行实时告警与追踪。
五 一键化安全测试流程建议
- 在 CI/CD 中串联：npm audit → Snyk → OWASP Dependency-Check → Retire.js → NodeJsScan → ESLint 安全规则 →（可选）上传产物至 DAST 平台扫描。
- 本地或测试环境执行：启动 DVNA → ZAP 主动扫描 + Acunetix 验证 → 针对报告缺陷编写 PoC 与修复方案 → 回归扫描直至清零高危项。
- 上线前检查：依赖均为最新安全版本、无已知 CVE 高风险项、关键操作具备日志与告警、错误处理不泄露堆栈与敏感信息。