网络安全入门之OWASP Top 10

1. 注入攻击（Injection）

注入攻击是利用应用程序对用户输入数据缺少有效的过滤和验证，从而在应用程序中注入恶意代码的攻击方式。例如，攻击者可以通过SQL注入攻击来获取应用程序中的敏感数据。

利用手法：是通过输入恶意的SQL语句来获取敏感数据。

2. 跨站脚本攻击（XSS）

跨站脚本攻击是攻击者通过在网页中注入恶意脚本来获取用户的敏感信息或者执行恶意代码的攻击方式。例如，攻击者可以通过在网页中注入JavaScript代码来窃取用户的Cookie信息。

利用手法：是通过构造恶意的脚本来获取用户的敏感信息。

3. 无效的身份认证和会话管理（Broken Authentication and Session Management）

无效的身份认证和会话管理是指应用程序没有正确实现身份认证和会话管理，从而使攻击者可以访问未授权的资源或者冒用其他用户的身份进行恶意操作的漏洞。例如，攻击者可以通过暴力破解密码或者使用会话劫持技术来获取其他用户的身份。

利用手法：是通过暴力破解密码或者会话劫持来获取其他用户的身份。

4. 敏感数据泄露（Sensitive Data Exposure）

敏感数据泄露是指应用程序中敏感数据的保护不足，使攻击者可以获取敏感数据的漏洞。例如，应用程序中存储的用户密码没有进行加密处理，攻击者可以直接获取用户的密码。

利用手法：是通过获取敏感数据来进行恶意操作。

5. XML外部实体注入（XML External Entities）

XML外部实体注入是指攻击者通过在XML文档中注入恶意代码，从而获取系统敏感信息或者执行恶意操作的漏洞。例如，攻击者可以通过在XML文档中注入恶意代码来获取系统中的敏感信息。

利用手法：是通过在XML文档中注入恶意代码来获取系统敏感信息。

6. 无效的访问控制（Broken Access Control）

无效的访问控制是指应用程序没有正确实现访问控制机制，从而使攻击者可以访问未授权的资源或者执行未授权的操作的漏洞。例如，攻击者可以通过修改URL参数或者绕过访问控制机制来获取未授权的资源。

利用手法：是通过绕过访问控制机制来访问未授权的资源或者执行未授权的操作。

7. 安全配置错误（Security Misconfiguration）

安全配置错误是指应用程序中的安全配置不当，从而导致系统存在安全漏洞的漏洞。例如，应用程序中的默认密码没有修改，攻击者可以直接使用默认密码进行攻击。

利用手法：是通过利用安全配置错误来进行攻击。

8. 跨站请求伪造（CSRF）

跨站请求伪造是攻击者通过在受害者的计算机上植入恶意代码，从而在用户不知情的情况下，向应用程序发送恶意请求的攻击方式。例如，攻击者可以通过在邮件中插入恶意链接来欺骗用户点击链接进行攻击。

利用手法：是通过欺骗用户点击恶意链接来向应用程序发送恶意请求。

9. 使用已知漏洞的组件（Using Components with Known Vulnerabilities）

使用已知漏洞的组件是指应用程序中使用已经公开的存在漏洞的第三方组件，从而导致系统存在安全漏洞的漏洞。例如，应用程序中使用的第三方组件存在已知的漏洞，攻击者可以利用这些漏洞进行攻击。

利用手法：是通过利用第三方组件的漏洞来进行攻击。

10. 不安全的反序列化（Insufficient Logging and Monitoring）

不安全的反序列化是指应用程序中存在反序列化漏洞，攻击者可以通过利用这些漏洞来执行恶意代码的攻击方式。例如，攻击者可以通过反序列化漏洞来获取系统中的敏感信息。

利用手法：是通过利用反序列化漏洞来执行恶意代码。

总结：写top 10的原因就是想巩固一下，因为最近hvv面试中面试官也问了top 10多一些问题。这也是学安全必须要掌握的，平时挖洞很多时候基本上挖的都是top 10。