OWASP(Open Web Application Security Project) Top 10 是指現(xiàn)在最常見的Web應(yīng)用程序安全風(fēng)險(xiǎn)清單，該清單是OWASP組織的一份關(guān)于Web應(yīng)用程序安全方面的指南。
OWASP Top 10 最新版本為 2017 年發(fā)布。其中包括的風(fēng)險(xiǎn)如下：
- 注入攻擊 (Injection)
注入攻擊是指攻擊者通過惡意輸入，將攻擊代碼插入到正常的執(zhí)行流程中，從而實(shí)現(xiàn)對(duì)應(yīng)用程序的控制。最常見的注入攻擊是 SQL注入。攻擊者通過向輸入表格中插入特殊字符，攻擊代碼被注入到 SQL 語句中，從而實(shí)現(xiàn)對(duì)數(shù)據(jù)庫的非法訪問。
- 破解身份認(rèn)證（Broken Authentication）
破解身份認(rèn)證是指攻擊者通過猜測或使用暴力破解等手段，獲取合法用戶的憑證，從而進(jìn)入應(yīng)用程序系統(tǒng)中，訪問保護(hù)的數(shù)據(jù)和資源，或偽造用戶身份，實(shí)現(xiàn)非法操作。
- 敏感數(shù)據(jù)泄露（Sensitive Data Exposure）
敏感數(shù)據(jù)泄露是指通過不恰當(dāng)?shù)臄?shù)據(jù)處理方式使得應(yīng)用程序中存儲(chǔ)的敏感信息，如密碼、信用卡信息等被攻擊者獲取。例如在用戶登錄時(shí)明文傳輸密碼、在應(yīng)用程序中存儲(chǔ)敏感數(shù)據(jù)未加密等。
- 外部實(shí)體注入（XML External Entities (XXE)）
外部實(shí)體注入是指攻擊者將惡意的 XML 文檔發(fā)送給 Web 應(yīng)用程序，當(dāng)應(yīng)用程序解析該 XML
文檔中的內(nèi)容時(shí)，攻擊者就能夠利用其中的外部實(shí)體成分實(shí)現(xiàn)攻擊，從而獲取敏感數(shù)據(jù)或控制服務(wù)器。
- 請(qǐng)求偽造 (Broken Access Control)
請(qǐng)求偽造是指攻擊者在應(yīng)用程序中繞過指定的訪問控制規(guī)則，實(shí)現(xiàn)越權(quán)訪問或非法操作。例如通過修改 Cookie 信息或 URL
參數(shù)等，實(shí)現(xiàn)未授權(quán)的訪問。
- 安全配置錯(cuò)誤（Security Misconfiguration）
安全配置錯(cuò)誤是指在 Web
應(yīng)用程序、服務(wù)器、數(shù)據(jù)庫等系統(tǒng)環(huán)境配置時(shí)出現(xiàn)問題。攻擊者可以利用這些問題實(shí)現(xiàn)對(duì)應(yīng)用程序或服務(wù)器的非法訪問和控制。例如未正確配置防火墻、文件權(quán)限設(shè)置不當(dāng)?shù)取?/p>
- 跨站腳本攻擊（Cross-Site Scripting (XSS)）
跨站腳本攻擊是指攻擊者通過在 Web
頁面中嵌入腳本，使用戶在訪問這個(gè)頁面時(shí)，腳本被執(zhí)行，攻擊者就能夠利用腳本實(shí)現(xiàn)攻擊，如竊取用戶信息、偽造會(huì)話信息等。
- 不安全的反序列化（Insecure Deserialization）
反序列化是指將序列化的數(shù)據(jù)從網(wǎng)絡(luò)或磁盤中讀出，并恢復(fù)為對(duì)象的過程。不安全的反序列化是指攻擊者發(fā)送惡意序列化數(shù)據(jù)給應(yīng)用程序，從而使應(yīng)用程序在反序列化數(shù)據(jù)時(shí)，執(zhí)行惡意代碼，實(shí)現(xiàn)攻擊。
- 使用無效或過時(shí)的組件（Using Components with Known Vulnerabilities）
使用已知漏洞百出的組件是非常危險(xiǎn)的，攻擊者可以利用這些漏洞實(shí)現(xiàn)攻擊。因此，在開發(fā)和維護(hù) Web
應(yīng)用程序時(shí)，需要確保使用的組件是最新版本，且沒有已知的漏洞。文章來源：http://www.zghlxwxcb.cn/news/detail-457123.html
- 不恰當(dāng)?shù)娜罩咎幚恚↖nsufficient Logging & Monitoring）
日志處理不當(dāng)是指在 Web 應(yīng)用程序中缺少足夠的安全監(jiān)控和日志記錄，攻擊者可以利用這些漏洞實(shí)現(xiàn)文章來源地址http://www.zghlxwxcb.cn/news/detail-457123.html
到了這里，關(guān)于OWASP Top 10的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
