目录
一、什么是漏洞?
1.官方定义
漏洞是在硬件、软件、协议的具体实现或系统的安全策略上存在的缺陷,从而可以使攻击者能够在未授权下访问和操作,而这个缺陷我们就称之为漏洞
2.基本理解
漏洞是硬件、软件、协议在生命周期的各个阶段(设计、实现、运维等过程)中产生的某类问题,这些问题会对系统的安全(机密性、完整性、可用性)产生影响,从而形成漏洞
3.bug和漏洞的区别
有人经常理解为bug就是漏洞,其实不然,漏洞和bug并不等同,是两个概念,他们的关系可以理解为:大部分的bug是影响功能性,但不涉及安全性,也就是不构成漏洞;大部分漏洞源于bug,但并不是都来源于bug,他们之间可以说有很大的交集
二、什么是Web漏洞?
Web漏洞是指Web应用程序的安全漏洞,指攻击者可以轻松获取Web应用系统及服务器的控制权限,从而进行网页篡改、数据窃取等破坏活动等
三、TOP10漏洞
1.失效的访问控制
2.加密机制失效
3.注入(包括跨站脚本攻击 XSS 和 SQL 注入等)
4.不安全设计
5.安全配置错误
6.自带缺陷和过时的组件
7.身份识别和身份验证错误
8.软件和数据完整性故障
9.安全日志和监控故障
10.服务端请求伪造 SSRF