【渗透测试】OWASP TOP10

OWASP Web App TOP10是由开放式Web应用程序安全项目组织（OWASP）提出的“十大安全风险列表”，总结了Web应用程序最通用的十大安全风险，旨在帮助IT公司和开发团队规范应用程序开发流程和测试流程，从而提高Web产品的安全性。

OWASP TOP10列表：

1.失效的访问控制（Broken Access Control）

2.加密机制失效（Cryptographic Failures）

3.注入

4.不安全设计

5.安全配置错误

6.自带缺陷和过时的组件

7.身份识别和身份验证错误

8.软件和数据完整性故障

9.安全日志和监控故障

10.服务端请求伪造（SSRF）

---

OWASP Web App TOP10先后经历了2013、2017、2019以及2021版本的变化，其中2021版引入了新的不安全设计、软件和数据完整性故障和服务端请求伪造：

1.失效的访问控制（Broken Access Control）

失败的访问控制通常会导致未经授权的信息泄露、修改或销毁所有数据、或在用户权限之外执行业务功能

常见的漏洞利用：

• 文件包含、目录遍历（../../../etc/passwd）

       (两者区别：目录遍历是文件本身，文件包含是显示在html页 面下的内容)

• 水平越权（权限绕过）

• 垂直越权（权限提升）

• 不安全直接对象的引用(''?id=1'改为'?id=2')