OWASP TOP10

OWASP，（Open Web Application Security Project ）提出的十大安全漏洞

失效的访问控制（越权

失败的访问控制通常会导致未经授权的信息泄露、修改、或销毁数据、或在用户权限之外执行业务功能

• 文件包含、目录遍历（…/…/…/etc/passwd）
  • 两者的区别：目录遍历是文件本身，文件包含是显示在html页面下的内容
• 水平越权（权限绕过）
• 垂直越权（权限提升）

加密机制失效（明文传输

以前称为敏感数据泄露，主要是由于加密机制失效导致的敏感数据泄露

• 明文传输
• 弱加密算法或过时的加密算法

注入

在可以输入参数的地方，通过构造恶意payload，威胁数据库或web安全
没有对浏览器端提交的参数进行严格的过滤和判断导致的漏洞

• SQL注入-输入恶意的SQL语句，在后端数据库中执行指定的SQL命令
• XSS-在网页中注入恶意的JS代码

不安全设计（一些逻辑漏洞

在开发软件时，在关键身份验证、访问控制、业务逻辑和关键流部位没有进行安全的设计。

• 支付逻辑
• 密码找回
• 验证码爆破
• 验证码回显
• 验证码重复使用
• 验证码绕过

比如：修改某个参数值，就可以成功操作，绕过一些限制

安全配置错误

可以发生在一个应用程序堆栈的任何层面，报考平台、web服务器、应用服务器、数据库、框架、自定义代码

• 未禁用调试模式DEBUG
• 错误处理机制–向用户暴露大量错误信息
• 默认账号密码未修改
• 启用了不需要的功能：端口、服务、网页、账户、权限
• 信息泄露
• SSH

自带缺陷和过时的组件

使用带有历史版本漏洞或版本过旧的组件，很容易遭受历史漏洞和0day的攻击

• log4j2远程命令执行漏洞

身份识别和身份验证错误

身份认证和会话管理的问题，攻击者可以破译密码，或者利用其他方式来来冒充其他用户身份

• 撞库
• 弱口令
• 爆破

软件和数据完整性故障

应用的运行代码以及应用发送的数据可能收到篡改

• shrio反序列化漏洞
• fastjson反序列化漏洞

安全日志和监控故障

指没有正确使用或者没有使用日志记录和监控，无法判断入侵行为

• 日志没有备份导致黑客入侵后清除日志无法访问

服务端请求伪造SSRF

服务器端提供了从其他服务器获取数据的功能，但是没有对目标地址做限制。攻击者可以利用此漏洞由服务器发起的恶意请求。常被用于对内网的探测和攻击

• file协议结合目录遍历读取文件
• gopher协议打开端口，结合redis
• dict协议主要用于结合curl攻击
• http协议进行内网探测