搜索

[29397] 2017-04-18_OWASP中国官方发布OWASPTop102017（RC1）中文版

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-19
2017-04-18_OWASP中国官方发布OWASPTop102017（RC1）中文版 O W A S P   中 国 官 方 发 布   |   O W A S P   T o p   1 0   2 0 1 7 （ R C 1 ） 中 文 版 S e c Z o n e   O W A S P   2 0 1 7 - 0 4 - 1 8 2 0 1 7 年 4 月 1 0 日 ， O W A S P 组 织 对 外 发 布 了 “ R e l e a s e C a n d i d a t e ” 版 本 的 《 O W A S P   T o p   1 0   2 0 1 7 》 文 档 ， O W A S P 中 国 根 据 O W A S P 组 织 发 布 的 消 息 ， 组 织 发 布 《 O W A S P   T o p 1 0   2 0 1 7   R C 1 》 中 文 版 。 什 么 是 《 什 么 是 《 O W A S P   T o p   1 0 》 ？ 》 ？ 《 O W A S P   T o p   1 0 》 提 供 了 1 0 类 最 严 重 的 W e b 应 用 程 序 安 全 风 险 。 对 于 每 类 风 险 ， 提 供 了 以 下 信 息 ： 对 风 险 的 描 述 。 漏 洞 样 例 攻 击 案 例 对 漏 洞 防 止 的 指 导 来 自 O W A S P 组 织 和 其 它 来 源 的 参 考 资 源 O W A S P   T o p   1 0 中 文 翻 译 项 目 组 中 文 翻 译 项 目 组 项 目 组 组 长 ： 王 颉 、 包 悦 忠 翻 译 人 员 ： 顾 凌 志 、 王 厚 奎 、 王 文 君 、 吴 楠 、 夏 玉 明 、 杨 天 识 、 袁 明 坤 、 张 镇 （ 排 名 按 姓 氏 拼 音 排 列 ） 审 查 人 员 ： R i p 、 夏 天 泽 说 明 ： 本 版 本 已 对 2 0 1 3 年 中 文 版 《 O W A S P   T o p   1 0 》 中 翻 译 不 准 确 的 内 容 进 行 修 正 。 翻 译 水 平 有 限 ， 欢 迎 指 正 。 意 见 反 馈 意 见 反 馈 O W A S P 中 国 区 会 员 或 会 员 单 位 有 反 馈 意 见 ， 可 直 接 将 反 馈 信 息 发 送 至 ： O W A S P - T o p T e n @ l i s t s . o w a s p . o r g ， 或 发 送 至 O W A S P 中 国 分 部 ： p r o j e c t @ o w a s p . o r g . c n ， 并 由 O W A S P 中 国 分 部 代 为 反 馈 。 2 0 1 7   R C 1 版 版 T o p   1 0 风 险 风 险 A 1 — 注 入 注 入 注 入 攻 击 漏 洞 ， 例 如 ： S Q L 、 O S   以 及   L D A P 注 入 。 这 些 攻 击 发 生 在 当 不 可 信 的 数 据 作 为 命 令 或 者 查 询 语 句 的 一 部 分 ， 被 发 送 给 解 释 器 的 时 候 。 攻 击 者 发 送 的 恶 意 数 据 可 以 欺 骗 解 释 器 ， 以 执 行 计 划 外 的 命 令 或 者 在 未 被 恰 当 授 权 时 访 问 数 据 。 A 2 — 失 效 的 身 份 认 证 和 会 话 管 理 失 效 的 身 份 认 证 和 会 话 管 理 与 身 份 认 证 和 会 话 管 理 相 关 的 应 用 程 序 功 能 往 往 得 不 到 正 确 的 实 现 ， 这 就 导 致 了 攻 击 者 破 坏 密 码 、 密 匙 、 会 话 令 牌 或 攻 击 其 他 的 漏 洞 去 冒 充 其 他 用 户 的 身 份 （ 临 时 性 的 或 永 久 性 的 ） 。 A 3 — 跨 站 脚 本 （ 跨 站 脚 本 （ X S S ） ） 当 应 用 程 序 收 到 含 有 不 可 信 的 数 据 ， 在 没 有 进 行 适 当 的 验 证 和 转 义 的 情 况 下 ， 就 将 它 发 送 给 一 个 网 页 浏 览 器 ， 这 就 会 产 生 跨 站 脚 本 攻 击 （ 简 称 X S S ） 。 X S S 允 许 攻 击 者 在 受 害 者 的 浏 览 器 上 执 行 脚 本 ， 从 而 劫 持 用 户 会 话 、 危 害 网 站 、 或 者 将 用 户 转 向 至 恶 意 网 站 。 A 4 — 失 效 的 访 问 控 制 失 效 的 访 问 控 制 对 已 通 过 身 份 验 证 用 户 的 运 行 限 制 ， 没 有 得 到 恰 当 的 强 制 执 行 。 攻 击 者 可 以 利 用 这 些 缺 陷 访 问 未 经 授 权 的 功 能 和 / 或 数 据 ,   例 如 ： 访 问 其 他 用 户 的 帐 户 、 查 看 敏 感 文 件 、 修 改 其 他 用 户 的 数 据 、 更 改 访 问 权 限 等 。 A 5 — 安 全 配 置 错 误 安 全 配 置 错 误 好 的 安 全 需 要 对 应 用 程 序 、 框 架 、 应 用 程 序 服 务 器 、 w e b 服 务 器 、 数 据 库 服 务 器 和 平 台 定 义 和 执 行 安 全 配 置 。 由 于 许 多 设 置 的 默 认 值 并 不 是 安 全 的 ， 因 此 ， 必 须 定 义 、 实 施 和 维 护 这 些 设 置 。 这 包 含 了 对 所 有 的 软 件 保 持 及 时 地 更 新 ， 包 括 所 有 应 用 程 序 的 库 文 件 。 A 6 — 敏 感 信 息 泄 漏 敏 感 信 息 泄 漏 许 多 W e b 应 用 程 序 没 有 正 确 保 护 敏 感 数 据 ， 如 信 用 卡 ， 税 务 I D 和 身 份 验 证 凭 据 。 攻 击 者 可 能 会 窃 取 或 篡 改 这 些 弱 保 护 的 数 据 以 进 行 信 用 卡 诈 骗 、 身 份 窃 取 ， 或 其 他 犯 罪 。 敏 感 数 据 值 需 额 外 的 保 护 ， 比 如 在 存 放 或 在 传 输 过 程 中 的 加 密 ， 以 及 在 与 浏 览 器 交 换 时 进 行 特 殊 的 预 防 措 施 。
A 7 — 攻 击 检 测 与 防 护 不 足 攻 击 检 测 与 防 护 不 足 大 多 数 应 用 程 序 和 A P I 都 缺 乏 检 测 、 防 止 和 响 应 手 动 和 自 动 攻 击 的 基 本 能 力 。 攻 击 防 护 远 远 超 出 了 基 本 的 输 入 验 证 ， 并 涉 及 到 自 动 检 测 、 记 录 、 响 应 ， 甚 至 阻 止 漏 洞 的 利 用 企 图 。 应 用 程 序 所 有 者 还 需 能 够 快 速 部 署 修 补 程 序 以 防 止 攻 击 。 A 8 — 跨 站 请 求 伪 造 （ 跨 站 请 求 伪 造 （ C S R F ） ） 一 个 跨 站 请 求 伪 造 攻 击 迫 使 用 户 已 登 录 的 浏 览 器 将 伪 造 的 H T T P 请 求 （ 包 括 该 用 户 的 会 话 c o o k i e 和 其 他 认 证 信 息 ） 发 送 到 一 个 存 在 漏 洞 的 w e b 应 用 程 序 。 这 就 允 许 了 攻 击 者 迫 使 用 户 浏 览 器 向 存 在 漏 洞 的 应 用 程 序 发 送 请 求 ， 而 这 些 请 求 会 被 应 用 程 序 认 为 是 用 户 的 合 法 请 求 。 A 9 — 使 用 含 有 已 知 漏 洞 的 组 件 使 用 含 有 已 知 漏 洞 的 组 件 组 件 ， 比 如 ： 库 文 件 、 框 架 和 其 它 软 件 模 块 ， 几 乎 总 是 以 全 部 的 权 限 运 行 。 如 果 一 个 带 有 漏 洞 的 组 件 被 利 用 ， 这 种 攻 击 可 以 造 成 更 为 严 重 的 数 据 丢 失 或 服 务 器 接 管 。 应 用 程 序 使 用 带 有 已 知 漏 洞 的 组 件 会 破 坏 应 用 程 序 防 御 系 统 ， 并 使 一 系 列 可 能 的 攻 击 和 影 响 成 为 可 能 。 A 1 0 — 未 受 到 充 分 保 护 的 未 受 到 充 分 保 护 的 A P I 现 代 应 用 程 序 通 常 涉 及 富 客 户 端 的 应 用 程 序 和 A P I ， 如 ： 在 浏 览 器 和 移 动 应 用 程 序 中 的 J a v a S c r i p t ， 它 们 连 接 到 某 种 A P I （ 如 ： S O A P / X M L 、 R E S T / J S O N 、 R P C 、 G W T 等 ） 。 这 些 A P I 通 常 是 没 有 保 护 的 ,   并 且 包 含 大 量 漏 洞 。 完 整 本 请 点 击 阅 读 原 文 ~ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理