搜索

[11241] 2017-04-16_2017OWASPTop10十大安全漏洞候选出炉，你怎么看？

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2017-04-16_2017OWASPTop10十大安全漏洞候选出炉，你怎么看？ 2 0 1 7   O W A S P   T o p   1 0 十 大 安 全 漏 洞 候 选 出 炉 ， 你 怎 么 看 ？ k u m a   F r e e B u f   2 0 1 7 - 0 4 - 1 6 O W A S P （ 开 放 式 （ 开 放 式 W e b 应 用 程 序 安 全 项 目 ） 近 日 公 布 应 用 程 序 安 全 项 目 ） 近 日 公 布 2 0 1 7   O W A S P   T o p 1 0 （ 十 大 安 全 漏 洞 列 表 ） ， 增 加 了 （ 十 大 安 全 漏 洞 列 表 ） ， 增 加 了 2 个 新 分 类 。 个 新 分 类 。 背 景 介 绍 背 景 介 绍 背 景 介 绍 背 景 介 绍 O W A S P 项 目 最 具 权 威 的 就 是 其 " 十 大 安 全 漏 洞 列 表 " 。 这 个 列 表 总 结 了 W e b 应 用 程 序 最 可 能 、 最 常 见 、 最 危 险 的 十 大 漏 洞 ， 可 以 帮 助 I T 公 司 和 开 发 团 队 规 范 应 用 程 序 开 发 流 程 和 测 试 流 程 ， 提 高 W e b 产 品 的 安 全 性 。 O W A S P   T o p   1 0 是 啥 是 啥 O W A S P   T o p   1 0 提 供 ： 1 0 大 最 关 键 W e b 应 用 安 全 隐 患 列 表 针 对 每 个 安 全 隐 患 ， O W A S P   T o p   1 0 将 提 供 ： 描 述 示 例 漏 洞 示 例 攻 击 防 范 指 南 O W A S P 参 考 源 及 其 他 相 关 资 源 新 增 分 类 新 增 分 类 新 增 分 类 新 增 分 类 本 周 O W A S P 公 布 了 2 0 1 7   O W A S P   T o p 1 0 第 一 波 候 选 名 单 ， 与 2 0 1 3 年 的 列 表 相 比 ， 最 大 的 不 同 点 在 于 新 出 现 的 两 种 漏 洞 分 类 ： “ 不 充 足 的 攻 击 检 测 与 预 防 ” “ 未 受 保 护 的 A P I ” 2 0 1 7   O W A S P   T o p   1 0 撤 掉 了 “ 未 验 证 的 重 定 向 ” 这 一 分 类 。 该 分 类 是 在 2 0 1 0 年 新 增 的 ， 在 2 0 1 3 的 列 表 当 中 排 在 第 十 位 。 新 分 类 “ 不 充 足 的 攻 击 检 测 与 预 防 ” 将 被 放 置 在 第 7 位 。 为 了 给 这 个 分 类 腾 出 位 置 ， O W A S P 想 要 合 并 当 前 的 第 四 项 “ 不 安 全 的 直 接 对 象 引 用 ” 和 第 七 项 “ 函 数 级 访 问 控 制 缺 失 ” ， 将 两 者 归 入 “ 失 效 的 访 问 控 制 ” ， 而 “ 失 效 的 访 问 控 制 ” 则 是 2 0 0 4 列 表 中 原 有 的 分 类 。
以 下 是 O W A S P 提 供 的 新 分 类 描 述 ： “ 不 充 足 的 攻 击 检 测 与 预 防 不 充 足 的 攻 击 检 测 与 预 防 ” ： “ 大 多 数 应 用 和 A P I 缺 乏 基 本 的 能 力 ， 来 检 测 、 预 防 和 响 应 人 工 和 自 动 化 攻 击 。 攻 击 防 护 远 不 仅 限 于 基 本 的 输 入 验 证 ， 它 还 包 含 自 动 检 测 、 记 录 、 响 应 甚 至 阻 止 利 用 行 为 。 应 用 程 序 所 有 者 还 需 能 快 速 部 署 补 丁 以 防 止 攻 击 。 ” “ 未 受 保 护 的 未 受 保 护 的 A P I ” ： “ 现 代 的 应 用 常 常 涉 及 富 客 户 端 应 用 程 序 和 A P I ， 比 如 浏 览 器 和 移 动 A p p 中 的 J a v a S c r i p t ， 连 接 到 其 他 某 种 A P I （ S O A P / X M L 、 R E S T / J S O N 、 R P C 、 G W T 等 ） 。 这 些 A P T 通 常 未 受 保 护 且 存 在 多 种 漏 洞 。 ” 讨 论 讨 论 讨 论 讨 论 R e d d i t 上 已 经 就 新 列 表 发 起 讨 论 ， 有 些 用 户 表 示 “ 不 充 足 的 攻 击 检 测 与 预 防 ” 不 应 该 被 归 类 为 漏 洞 。 不 知 道 会 不 会 有 足 够 多 的 用 户 能 够 让 O W A S P 改 变 新 增 这 一 分 类 的 想 法 。 如 果 大 家 对 这 个 提 案 有 什 么 意 见 ， 都 可 以 通 过 邮 件 向 O W A S P - T o p T e n ( a t ) l i s t s . o w a s p . o r g 或 者 d a v e . w i c h e r s ( a t ) o w a s p . o r g （ 私 人 评 论 ） 提 交 ， 时 间 截 止 至 6 月 3 0 日 。 2 0 1 7   O W A S P   T o p 1 0 最 终 版 本 将 于 7 月 或 8 月 公 布 。 F r e e B u f 也 将 继 续 跟 进 这 一 列 表 的 后 续 动 态 。 * 参 考 来 源 ： s e c u r i t y a f f a i r s 、 s e c u r i t y w e e k ， F B 小 编 k u m a 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理