搜索

[29425] 2017-06-14_峰会期间OWASPTOP10-2017开源培训，名额有限

文档创建者：s7ckTeam
浏览次数：43
最后更新：2025-01-19
2017-06-14_峰会期间OWASPTOP10-2017开源培训，名额有限 峰 会 期 间   |   O W A S P   T O P   1 0 - 2 0 1 7   开 源 培 训 ， 名 额 有 限 S e c Z o n e   O W A S P   2 0 1 7 - 0 6 - 1 4 O W A S P   T O P   1 0 - 2 0 1 7   《 O W A S P   T o p   1 0 》 提 供 了 1 0 类 最 严 重 的 W e b 应 用 程 序 安 全 风 险 。 对 于 每 类 风 险 ， 提 供 了 以 下 信 息 ： 对 风 险 的 描 述 。 对 风 险 的 描 述 。 漏 洞 样 例 漏 洞 样 例 攻 击 案 例 攻 击 案 例 对 漏 洞 防 止 的 指 导 对 漏 洞 防 止 的 指 导 来 自 来 自 O W A S P 组 织 和 其 它 来 源 的 参 考 资 源 组 织 和 其 它 来 源 的 参 考 资 源 O W A S P   T O P   1 0   -   2 0 1 7 A 1 — 注 入 注 入 注 入 攻 击 漏 洞 ， 例 如 ： S Q L 、 O S   以 及   L D A P 注 入 。 这 些 攻 击 发 生 在 当 不 可 信 的 数 据 作 为 命 令 或 者 查 询 语 句 的 一 部 分 ， 被 发 送 给 解 释 器 的 时 候 。 攻 击 者 发 送 的 恶 意 数 据 可 以 欺 骗 解 释 器 ， 以 执 行 计 划 外 的 命 令 或 者 在 未 被 恰 当 授 权 时 访 问 数 据 。 A 2 — 失 效 的 身 份 认 证 和 会 话 管 理 失 效 的 身 份 认 证 和 会 话 管 理 与 身 份 认 证 和 会 话 管 理 相 关 的 应 用 程 序 功 能 往 往 得 不 到 正 确 的 实 现 ， 这 就 导 致 了 攻 击 者 破 坏 密 码 、 密 匙 、 会 话 令 牌 或 攻 击 其 他 的 漏 洞 去 冒 充 其 他 用 户 的 身 份 （ 临 时 性 的 或 永 久 性 的 ） 。 A 3 — 跨 站 脚 本 （ 跨 站 脚 本 （ X S S ） ） 当 应 用 程 序 收 到 含 有 不 可 信 的 数 据 ， 在 没 有 进 行 适 当 的 验 证 和 转 义 的 情 况 下 ， 就 将 它 发 送 给 一 个 网 页 浏 览 器 ， 这 就 会 产 生 跨 站 脚 本 攻 击 （ 简 称 X S S ） 。 X S S 允 许 攻 击 者 在 受 害 者 的 浏 览 器 上 执 行 脚 本 ， 从 而 劫 持 用 户 会 话 、 危 害 网 站 、 或 者 将 用 户 转 向 至 恶 意 网 站 。 A 4 — 失 效 的 访 问 控 制 失 效 的 访 问 控 制 对 已 通 过 身 份 验 证 用 户 的 运 行 限 制 ， 没 有 得 到 恰 当 的 强 制 执 行 。 攻 击 者 可 以 利 用 这 些 缺 陷 访 问 未 经 授 权 的 功 能 和 / 或 数 据 ,   例 如 ： 访 问 其 他 用 户 的 帐 户 、 查 看 敏 感 文 件 、 修 改 其 他 用 户 的 数 据 、 更 改 访 问 权 限 等 。 A 5 — 安 全 配 置 错 误 安 全 配 置 错 误 好 的 安 全 需 要 对 应 用 程 序 、 框 架 、 应 用 程 序 服 务 器 、 w e b 服 务 器 、 数 据 库 服 务 器 和 平 台 定 义 和 执 行 安 全 配 置 。 由 于 许 多 设 置 的 默 认
值 并 不 是 安 全 的 ， 因 此 ， 必 须 定 义 、 实 施 和 维 护 这 些 设 置 。 这 包 含 了 对 所 有 的 软 件 保 持 及 时 地 更 新 ， 包 括 所 有 应 用 程 序 的 库 文 件 。 A 6 — 敏 感 信 息 泄 漏 敏 感 信 息 泄 漏 许 多 W e b 应 用 程 序 没 有 正 确 保 护 敏 感 数 据 ， 如 信 用 卡 ， 税 务 I D 和 身 份 验 证 凭 据 。 攻 击 者 可 能 会 窃 取 或 篡 改 这 些 弱 保 护 的 数 据 以 进 行 信 用 卡 诈 骗 、 身 份 窃 取 ， 或 其 他 犯 罪 。 敏 感 数 据 值 需 额 外 的 保 护 ， 比 如 在 存 放 或 在 传 输 过 程 中 的 加 密 ， 以 及 在 与 浏 览 器 交 换 时 进 行 特 殊 的 预 防 措 施 。 A 7 — 攻 击 检 测 与 防 护 不 足 攻 击 检 测 与 防 护 不 足 大 多 数 应 用 程 序 和 A P I 都 缺 乏 检 测 、 防 止 和 响 应 手 动 和 自 动 攻 击 的 基 本 能 力 。 攻 击 防 护 远 远 超 出 了 基 本 的 输 入 验 证 ， 并 涉 及 到 自 动 检 测 、 记 录 、 响 应 ， 甚 至 阻 止 漏 洞 的 利 用 企 图 。 应 用 程 序 所 有 者 还 需 能 够 快 速 部 署 修 补 程 序 以 防 止 攻 击 。 A 8 — 跨 站 请 求 伪 造 （ 跨 站 请 求 伪 造 （ C S R F ） ） 一 个 跨 站 请 求 伪 造 攻 击 迫 使 用 户 已 登 录 的 浏 览 器 将 伪 造 的 H T T P 请 求 （ 包 括 该 用 户 的 会 话 c o o k i e 和 其 他 认 证 信 息 ） 发 送 到 一 个 存 在 漏 洞 的 w e b 应 用 程 序 。 这 就 允 许 了 攻 击 者 迫 使 用 户 浏 览 器 向 存 在 漏 洞 的 应 用 程 序 发 送 请 求 ， 而 这 些 请 求 会 被 应 用 程 序 认 为 是 用 户 的 合 法 请 求 。 A 9 — 使 用 含 有 已 知 漏 洞 的 组 件 使 用 含 有 已 知 漏 洞 的 组 件 组 件 ， 比 如 ： 库 文 件 、 框 架 和 其 它 软 件 模 块 ， 几 乎 总 是 以 全 部 的 权 限 运 行 。 如 果 一 个 带 有 漏 洞 的 组 件 被 利 用 ， 这 种 攻 击 可 以 造 成 更 为 严 重 的 数 据 丢 失 或 服 务 器 接 管 。 应 用 程 序 使 用 带 有 已 知 漏 洞 的 组 件 会 破 坏 应 用 程 序 防 御 系 统 ， 并 使 一 系 列 可 能 的 攻 击 和 影 响 成 为 可 能 。 A 1 0 — 未 受 到 充 分 保 护 的 未 受 到 充 分 保 护 的 A P I 现 代 应 用 程 序 通 常 涉 及 富 客 户 端 的 应 用 程 序 和 A P I ， 如 ： 在 浏 览 器 和 移 动 应 用 程 序 中 的 J a v a S c r i p t ， 它 们 连 接 到 某 种 A P I （ 如 ： S O A P / X M L 、 R E S T / J S O N 、 R P C 、 G W T 等 ） 。 这 些 A P I 通 常 是 没 有 保 护 的 ,   并 且 包 含 大 量 漏 洞 。 培 训 安 排 培 训 安 排 时 间 ： 2 0 1 7 年 7 月 7 日   1 4 : 0 0 - 1 7 : 0 0 地 点 ： 深 圳 南 山 虚 拟 大 学 园 产 业 化 基 地 性 质 ： 免 费 对 象 ： 软 件 开 发 人 员 及 对 安 全 感 兴 趣 人 员 名 额 有 限 ， 好 东 西 要 分 享 名 额 有 限 ， 好 东 西 要 分 享 ~ 赶 紧 发 给 好 基 友 赶 紧 发 给 好 基 友 O W A S P 中 国 官 方 微 信 中 国 官 方 微 信 → O W A S P → 2 0 1 7 峰 会 峰 会 → 提 交 报 名 提 交 报 名 → 信 息 审 核 信 息 审 核 → 获 取 电 子 邀 请 函 获 取 电 子 邀 请 函
点 击 阅 读 原 文 就 可 以 报 名 了 点 击 阅 读 原 文 就 可 以 报 名 了 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理