OWASP Top 10 详细解读

已于 2024-03-03 16:06:06 修改
阅读量3.9k 收藏 17
点赞数 10
分类专栏： 网络安全 文章标签： web安全 OWASP
于 2024-02-24 11:55:12 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u013129300/article/details/136110161
版权

在这里插入图片描述

1. 简介

OWASP TOP 10是开放式Web应用程序安全项目（Open Web Application Security Project）发布的年度全球最严重的十大web应用程序安全风险。这些风险包括了许多常见的web应用程序安全问题，如SQL注入、跨站脚本攻击（XSS）、文件包含漏洞（包括命令注入）、不安全的直接对象引用等。OWASP Top 10 2021是全新的，具有新的图形设计和可用的单页信息图。

在这里插入图片描述

每年发布的TOP 10排名反映了web应用程序安全领域的重大威胁和相关漏洞。通过广泛讨论这些问题并发布更新的建议和指导方针，OWASP致力于改善web应用程序的安全性，同时提供公开标准以确保安全实践的一致性。

由于技术和安全形势的变化，每年的OWASP TOP 10排名可能有所不同。因此，要确保始终关注OWASP官方渠道以获取最新的排名和信息。

OWASP Top 10一般每3~4年发布一次，第一次发布是2003年，2021版本是第7次发布，可点此获取最新发布版本的PPT介绍文档（访问密码：6277）。历史发行版本如下：

  • 2021
  • 2017
  • 2013
  • 2010
  • 2007
  • 2004
  • 2003

2024版本当前正在拟定中，预计今年下半年会公开发布。

2. 主要受众

  • 开发人员、首席开发人员、架构师

  • 框架开发人员

    但他们更倾向使用ASVS，关于ASVS的介绍请参阅《解读OWASP应用安全验证标准ASVS》

  • AppSec程序管理（CISO、CTO等）

  • AppSec专业人士：咨询、工具、供应商、培训师

3. 2021 OWASP Top 10安全风险

3.1. Top 10列表

编号英文名称中文名称
A01:2021Broken Access Control破坏访问控制
A02:2021Cryptographic Failures加密机制失效
A03:2021Injection注入
A04:2021Insecure Design不安全的设计
A05:2021Security Misconfiguration安全配置错误
A06:2021Vulnerable and Outdated Components不安全和过时的组件
A07:2021Identification and Authentication Failures身份识别和验收失效
A08:2021Software and Data Integrity Failures软件和数据完整性失效
A09:2021Security Logging and Monitoring Failures安全日志和监控失效
A10:2021Server-Side Request Forgery服务侧请求伪造

3.2. Top 10概述

A01:2021-访问控制破坏从第五位上升。 94%的应用程序进行了某种形式的访问控制中断测试。映射到Broken Access Control的34个通用缺陷枚举（CWE）在应用程序中的出现次数比任何其他类别都多。

A02：2021-加密机制失效上升一位至第2位。以前称为敏感数据暴露，这是普遍的现象，而不是根本原因。这里重新关注的是与加密相关的故障，这些故障通常会导致敏感数据暴露或系统受损。

A03：2021-注入下滑至第3位。94%的应用程序进行了某种形式的注入测试，映射到这一类别的33个CWE在应用程序中出现的次数第二多。跨站点脚本现在是这个版本中这个类别的一部分。

A04：2021-不安全设计是2021年的新类别。重点关注与设计缺陷相关的风险。如果我们真的想作为一个行业“左移”，它需要更多地使用威胁建模、安全设计模式和原则以及参考架构。

A05：2021-安全配置错误从上一版本的第6位上升。90%的应用程序都经过了某种形式的配置错误测试。随着越来越多的人转向高度可配置的软件，这一类别的上升也就不足为奇了。以前的XML外部实体（XXE）类别现在是此类别的一部分。

A06：2021-易受攻击和过时的组件之前的标题为“使用具有已知漏洞的组件”，在前10名社区调查中排名第2，但也有足够的数据通过数据分析进入前10名。这一类别从2017年的第9位上升，它是唯一一个没有任何CVE映射到所包含CWE的类别。

A07：2021-识别和身份验证失败以前是身份验证中断，从第二个位置下滑，现在包括与识别失败更相关的CWE。这一类别仍然是前10名中不可或缺的一部分，但标准化框架的可用性增加似乎对这类风险有所帮助。

A08：2021-软件和数据完整性故障是2021年的一个新类别。重点是在不验证完整性的情况下做出与软件更新、关键数据和CI/CD管道相关的假设。来自通用漏洞和暴露/通用漏洞评分系统（CVE/CVSS）数据的最高加权影响之一映射到该类别中的10个CWE。从2017年开始的不安全认证现在是这个更大类别的一部分。

A09：2021-安全日志记录和监控故障以前是日志记录和监控不足，并从行业调查中添加，从之前排名10上升到了排名9。此类别扩展到包括更多类型的故障，测试具有挑战性，并且在CVE/CVSS数据中没有很好地表示。但是，此类故障可能会直接影响可见性、事件警报和取证。

A10：2021-服务器端请求伪造（SSRF）是从十大社区调查中添加的。数据表明其发生率相对较低，测试覆盖率高于平均水平，利用和影响潜力的评级高于平均水平。这个类别代表了安全社区成员告诉我们这很重要的场景，尽管目前数据中没有说明。

3.3. Top 10详细

由于涉及细节内容较多，OWASP Top 10 2021详细文档【 点击获取，访问密码6277】。
在这里插入图片描述

4. 参考

[1] https://owasp.org/Top10/
[2] https://owasp.org/www-project-top-ten/

OWASP Web 漏洞TOP 10解读和案例分析
AI
05-24 1541
OWASP Web 漏洞TOP 10相当于10个web领域安全的常识，也是最容易发生的安全事故，本篇进行解读，案例分析攻击方法。
OWASP TOP 10你了解几个？
Bu2n的博客
01-05 3146
OWASP TOP 102021TOP1 Broken Access ControlTOP2 Cryptographic FailuresTOP3 InjectionTOP4 Insecure DesignTOP5 Security MisconfigurationTOP6 Vulnerable and Outdated ComponentsTOP7 Identification and Authentication FailuresTOP8 Software and Data Integrity Fai.
Web 安全：OWASP TOP10 漏洞介绍，从零基础到精通，收藏这篇就够了！
最新发布
Javachichi的博客
04-03 1178
这些漏洞就像潜伏在暗处的“内鬼”，一旦被黑客盯上，轻则数据泄露，重则系统瘫痪，让你欲哭无泪。所以，咱们必须得重视起来！但如果加密措施不到位，或者干脆不用加密，那你的数据就相当于“裸奔”，随时可能被泄露或篡改。Web应用经常会用到各种第三方组件，但有些组件可能存在已知的安全漏洞，或者版本太旧，不再更新。他们通过恶意输入，让你的应用程序执行他们想要的代码，从而控制你的系统、窃取你的数据。如果你的应用程序依赖于不受信任的插件、库或模块，或者CI/CD管道不安全，黑客就可能篡改你的软件和数据，造成严重损失。
OWASP TOP 10 2019
lxy123_com的博客
03-10 1289
1，A1:2017-注入 将不受信任的数据作为命令或查询的一部分发送到解析器时，会产生诸如SQL注入、NoSQL注入、OS注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。 2，A2:2017-失效的身份认证 通常，通过错误使用应用程序的身份认证和会话管理功能，攻击者能够破译密码、密钥或会话令牌，或者利用其它开发缺陷来暂时性或永久性冒充其他用户的身份。 3，A3:2017-敏感数据泄露 许多Web应用程序和API都无法正确保护敏感数据，例如：财务数据
OWASP TOP 10 ( 2021 ) 的详细介绍
LizimU_0911的博客
12-08 1386
Top1-失效的访问控制 1. 失效的访问控制的介绍 从第五位上升称为Web应用程序安全风险最严重的类别，常见的CWE包括：将敏感信息泄露给未经授权的参与者、通过发送的数据泄露敏感信息、跨站请求伪造（csrf）。 2. 失效的访问控制的攻击原理 访问强制实施策略，使用户无法在其预期权限之外操作。失败的访问控制通常导致未经授权的信息泄露，修改或者销毁所有数据，或在用户权限之外执行业务功能。 3. 失效的访问控制的解决方法 开发人员和QA人员应
OWASP TOP 10
杨航的专栏
04-26 730
漏洞描述 风险描述 漏洞等级 修改建议 SQL注入: 没有对参数进行SQL过滤,且操作数据语句是拼接方式进行。 攻击者可以通过构造特殊URL的手段，利用SQL注入漏洞从数据库中获取敏感数据、修改数据库数据（插入/更新/删除） 、执行数据库管理操作（如关闭数据库管理系统）,从而能导致数据丢失或数据破坏、缺乏可审计性或是拒绝服务。注入漏洞有时
DevKnox工具对OWASP TOP 10的解读与应用
OWASP TOP 10简介 ## 1.1 什么是OWASP TOP 10？ OWASP（Open Web Application Security Project）是一个致力于Web应用程序安全的社区，他们定期发布最新的Web应用程序安全风险列表，即OWASP TOP 10。OWASP TOP 10...
OWASP Top 10 2017 10项最严重的 Web 应用程序安全风险.zip
11-04
2017年的版本列出了当时最严重的10个Web应用安全风险，以下是对这些风险的详细解读： 1. **注入**（Injection）：这是最常见的安全漏洞之一，包括SQL注入、LDAP注入等。攻击者通过输入恶意代码到应用程序的输入字段...
OWASP TOP 10 及防御
qq_21193587的博客
05-31 5933
什么是 OWASP TOP 10 OWASP（开放式Web应用程序安全项目）是一个开放的社区，由非营利组织 OWASP基金会支持的项目。对所有致力于改进应用程序安全的人士开放，旨在提高对应用程序安全性的认识。 其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结并更新Web应用程序中最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识。 最重要的版本 应用程序中最严重的十大风险 A1 注入漏洞 在 2013、2017 的版本中都是第一名，可见此漏洞的引入是多么的
OWASP Top 10
xin_10086的博客
03-26 564
建议结合 OWASP 官方文档（[owasp.org](https://owasp.org)）及自动化工具（如 ZAP、Burp Suite）进行深度防护。- 典型场景：SQL 注入（`' OR 1=1--` 绕过登录）、OS 命令注入（`;-典型场景：利用 URL 参数（如 `http://internal-api/admin`）访问内网系统。-原理：依赖库/框架存在已知漏洞（如 Log4j 2.x 的 CVE-2021-44228）。- 原理：未过滤的用户输入被拼接至命令/查询中，导致执行恶意代码。
OWASP TOP 10 详解
weixin_30462049的博客
06-27 1057
OWASP——开放式web应用程序安全项目 参考文献：袁鸣凯．OWASP Top 10十大风险 – 10个最重大的Web应用风险与攻防．2016-9-18．https://blog.csdn.net/lifetragedy/article/details/52573897 Open Web Application Security Project (1)——A1 —— ...
网络安全入门必知的OWASP top 10漏洞详解
瓦罗兰特顶级C位的博客
08-04 7131
首先介绍下OWASP，开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个非营利组织，不附属于任何企业或财团，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。
什么是 OWASP Top 10
慕漓的博客
07-16 1666
注入攻击是指将恶意代码插入到系统中，以执行非预期的命令或查询。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

全栈安全

点赞收藏也是赞赏~

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值