Web-App-PenTesting — Web 应用程序渗透测试实验环境 — 存在漏洞的 Flask 应用、自动化扫描器以及专业渗透测试报告。涵盖 OWASP Top 10、SQLi、XSS、命令注入、文件上传等内容。 | Kitploit

git clone https://github.com/Sarthak4126/Web-App-PenTesting.git
cd Web-App-PenTesting/target_app

pip install -r requirements.txt

python app.py

应用运行于：http://127.0.0.1:5000

cd ../security_audit_tools
python run_audit.py

将结构化发现结果输出至 audit_results.json。

任务	目标组件	发现	CVSS v3.1
信息收集	Headers、`/robots.txt`	服务器横幅与敏感路径泄露	5.3
目录枚举	`/backup`、`/admin`、`/api/v1/users`	暴露的备份目录与未认证 API	7.5–8.6
身份验证测试	`POST /login`	SQLi 认证绕过（`admin' --`）与无速率限制	9.8 严重
SQL 注入	`/products?category=`	UNION SQLi 与基于错误的凭据提取	9.8 严重
跨站脚本	`/search`、`/feedback`	反射型 XSS 与存储型 XSS	7.2–7.5
文件上传测试	`POST /upload_avatar`	无限制上传 — 无 MIME/扩展名验证	8.8 高危
命令注入	`POST /network_tools`	通过未过滤的 ping 实现远程操作系统命令执行	9.8 严重
报告	`reports/`	专业渗透测试报告（Markdown 与 HTML/PDF）	✅

Web-App-PenTesting

🎯 任务覆盖范围