Web漏洞概述

目录

一、什么是漏洞?

1.官方定义

2.基本理解

3.bug和漏洞的区别

二、什么是Web漏洞?

三、TOP10漏洞

---

一、什么是漏洞?

1.官方定义

漏洞是在硬件、软件、协议的具体实现或系统的安全策略上存在的缺陷，从而可以使攻击者能够在未授权下访问和操作，而这个缺陷我们就称之为漏洞

2.基本理解

漏洞是硬件、软件、协议在生命周期的各个阶段（设计、实现、运维等过程）中产生的某类问题，这些问题会对系统的安全（机密性、完整性、可用性）产生影响，从而形成漏洞

3.bug和漏洞的区别

有人经常理解为bug就是漏洞，其实不然，漏洞和bug并不等同，是两个概念，他们的关系可以理解为：大部分的bug是影响功能性，但不涉及安全性，也就是不构成漏洞；大部分漏洞源于bug，但并不是都来源于bug，他们之间可以说有很大的交集

二、什么是Web漏洞?

Web漏洞是指Web应用程序的安全漏洞，指攻击者可以轻松获取Web应用系统及服务器的控制权限，从而进行网页篡改、数据窃取等破坏活动等

三、TOP10漏洞

1.失效的访问控制

2.加密机制失效

3.注入（包括跨站脚本攻击 XSS 和 SQL 注入等）

4.不安全设计

5.安全配置错误

6.自带缺陷和过时的组件

7.身份识别和身份验证错误

8.软件和数据完整性故障

9.安全日志和监控故障

10.服务端请求伪造 SSRF