owasp top 10 2024

1. 破损的访问控制：攻击者的大门

2024 年，Broken Access Control 继续在 OWASP 前 10 大漏洞列表中名列前茅。当用户被允许执行超出其权限范围的操作（例如访问其他用户的数据或修改记录）时，就会出现访问控制缺陷。此漏洞特别危险，因为它很容易被利用，导致未经授权的访问、数据泄露和敏感信息丢失。

实际影响：

根据 Verizon 2023 年数据泄露调查报告，82% 的泄露涉及人为因素，访问控制是最常被利用的领域之一。一个值得注意的例子是 2019 年的 Facebook 数据泄露事件，攻击者利用薄弱的访问控制来获取数百万条用户记录。

缓解策略：

• 实施基于角色的访问控制 （RBAC），以确保用户只能访问他们需要的数据和功能。
• 定期审核用户权限以删除不必要的权限。
• 对关键操作实施多重身份验证 （MFA），以增加额外的安全层。

2. 加密故障：沉默的安全杀手

加密技术是保护敏感信息（如信用卡号、密码和个人数据）的核心。当加密协议较弱、实施不当或完全缺失时，就会发生加密故障。虽然加密是一种标准做法，但 IBM 的 2023 年数据泄露成本报告强调，25% 的泄露是由于加密薄弱或密钥管理缺陷而发生的，从而导致本可避免的数据泄露。

实际影响：

一个例子是 2017 年的 Equifax 泄露事件，未能加密敏感数据导致超过 1.45 亿条记录泄露，使公司损失了约 14 亿美元的恢复工作。

缓解策略：

• 使用 AES-256 等强加密算法，并确保适当的密钥管理。
• 避免使用过时的加密方法，如 MD5 或 SHA-1，因为它们容易受到攻击。
• 定期更新和修补加密库，以防止新发现的漏洞。

3. 注入攻击：仍然是一个持续的威胁

尽管多年来人们一直具有安全意识，但注入攻击（尤其是 SQL 注入）仍然是最具破坏性的漏洞类型之一。到 2024 年，这些攻击已经演变，使其更难检测和预防。通过将恶意代码注入应用程序的输入字段中，攻击者可以未经授权访问数据库、提取敏感数据，甚至在服务器上执行任意命令。

实际影响：

2021 年，LinkedIn 遭遇数据泄露，利用 SQL 注入漏洞，暴露了超过 7 亿用户的个人信息。此次泄露表明，即使是知名度高、资源丰富的组织也可能成为这一常见缺陷的受害者。

缓解策略：

• 始终清理和验证用户输入，以防止执行不受信任的命令。

• 使用参数化查询或准备好的语句安全地处理数据库输入。
• 实施 Web 应用程序防火墙 （WAF） 以检测和阻止注入尝试。

4. 不安全的设计：未来数据泄露的根本原因

不安全设计是一个更具概念性但越来越相关的问题，它强调了从头开始安全架构和设计实践的必要性。此漏洞凸显出，即使系统实施正确，设计不佳的应用程序也会留下攻击者可以随着时间的推移而利用的固有弱点。

实际影响：

一个设计不佳的 API 导致 2023 年发现的 Twitter API 漏洞，暴露了数百万用户的个人信息。此漏洞是由于在设计阶段未能实施安全注意事项的直接结果。

缓解策略：

• 在开发周期的早期采用威胁建模来识别潜在的安全风险。

• 使用强制实施安全设计原则的安全框架和库。
• 在实施之前进行安全的设计审查，以识别和降低风险。

5. 安全错误配置：最容易修复，最难检测

当默认设置、不完整的配置或安全设置中的错误使应用程序容易受到攻击时，就会发生安全配置错误。错误配置的范围包括启用不必要的服务、暴露敏感信息以及未修补的安全漏洞。

实际影响：

在 2019 年臭名昭著的 Capital One 漏洞中，Web 应用程序防火墙中的安全配置错误允许攻击者访问敏感的客户数据。这导致了 8000 万美元的罚款，并严重损害了公司的声誉。

缓解策略：

• 定期审核和强化配置，以满足行业安全标准。
• 禁用未使用的功能和服务以减少攻击面。
• 使用自动化配置管理工具来确保跨环境的一致性。

6. 易受攻击和过时的组件：隐藏的危险

安全漏洞的主要原因之一是在应用程序中使用过时或易受攻击的组件。这包括具有已知漏洞但尚未更新或修补的第三方库、插件和软件。随着系统变得越来越复杂，管理依赖关系成为一项重大挑战。

实际影响：

在 Equifax 泄露事件中利用的 Apache Struts 漏洞是使用过时软件组件的结果。Equifax 未能应用关键安全补丁，导致历史上最大的数据泄露事件之一。

缓解策略：

• 使用 Dependabot 或 Snyk 等自动化工具监控和更新第三方组件。
• 定期检查和更新依赖项以确保它们安全。
• 使用软件组件分析 （SCA） 工具来识别和降低应用程序依赖关系中的风险。

7. 身份识别和身份验证失败：攻击者的主要目标

身份验证失败可能导致严重的安全漏洞，使攻击者能够冒充合法用户。此漏洞包括弱密码、缺少多重身份验证 （MFA） 和有缺陷的会话管理。

实际影响：

2013 年的雅虎泄露事件由于弱密码策略和会话处理不当而暴露了超过 30 亿个用户帐户，使其成为历史上最大的泄露事件之一。

缓解策略：

• 以最低的复杂性要求实施强密码策略。
• 实施多重身份验证 （MFA） 以添加额外的保护层。
• 使用安全的行业标准会话管理技术，包括安全令牌和 Cookie。

8. 软件和数据完整性故障：对信任的威胁

当软件更新、关键数据或基础设施组件未得到适当保护时，就会出现此漏洞，从而导致未经授权的更改，从而损害系统完整性。

实际影响：

2020 年的 SolarWinds 黑客攻击凸显了攻击者如何将恶意代码注入受信任的软件更新中。这次攻击影响了多个政府机构和财富 500 强公司，展示了完整性失败的破坏性后果。

缓解策略：

• 对软件更新进行签名并验证，以确保其完整性。

• 对关键数据实施完整性检查以检测篡改。
• 定期监控和验证基础设施组件的完整性。

9. 安全日志记录和监控故障：无声但致命的威胁

如果没有适当的日志记录和监控，安全漏洞可能会在几个月内被忽视。事实上，根据 IBM 的 2023 年数据泄露报告，识别泄露平均需要 207 天，不良的日志记录实践是延迟检测的主要原因。

实际影响：

在 2013 年的 Target 泄露事件中，由于监控不足而错过了安全警报，导致 4000 万条信用卡记录暴露，并造成了重大的财务和声誉损失。

缓解策略：

• 确保所有关键系统都已部署全面的日志记录。
• 使用实时监控工具检测异常活动。
• 定期审核日志以确保符合安全策略。

10. 服务器端请求伪造 （SSRF）：新兴威胁

当攻击者可以操纵服务器向其他系统发送未经授权的请求，从而可能绕过防火墙并暴露敏感数据时，就会出现 SSRF 漏洞。随着微服务和云应用程序变得越来越普遍，SSRF 正成为一个越来越受关注的问题。

OWASP官网：Welcome to OWASP CHINA — OWASP-CHINA

​​​​​​2024 年 OWASP 十大漏洞：加强 Web 应用程序安全 – SavvycomSoftware