OWASP Top 10

OWASP Top 10 是开放 Web 应用安全项目（OWASP）发布的 Web 应用程序十大安全风险列表，旨在提高人们对 Web 应用程序安全性的意识，并为开发者提供指导，帮助他们识别和防范这些安全风险1。以下是 OWASP 发布的最新十大安全风险列表（截至 2024 年）1：

1. 注入：包括 SQL 注入、NoSQL 注入、OS 注入和 LDAP 注入等。攻击者利用该漏洞可获取其他用户账号、浏览敏感文件、删除更改内容、执行未授权访问，甚至取得网站管理权限。
2. 失效身份验证和会话管理：如果身份验证或会话管理协议未正确实施，攻击者可能会窃取密码、会话密钥或令牌，冒充用户身份，进而获取敏感信息或执行未授权操作。
3. 敏感信息泄露：当安全控制（如 SSL 和 HTTPS）未正确实施时，敏感数据（如个人身份信息、财务和银行详细信息、税务 ID 和密码等）可能会通过该漏洞被泄露或窃取。
4. XML 外部实体注入攻击（XXE）：攻击者可通过构造恶意的 XML 输入，利用应用程序对 XML 外部实体的解析漏洞，来读取服务器上的敏感文件、执行命令或发起拒绝服务攻击等。
5. 存取控制中断：若应用程序存在漏洞，恶意用户可能在未通过适当身份验证的情况下，获取管理员权限或访问未授权的数据，例如通过操纵对象引用或绕过访问控制检查。
6. 安全性错误配置：安全流程和实践未正确遵循或实施，导致攻击者可利用配置漏洞（如服务器、平台等的配置不当）来检测薄弱环节，进而访问敏感数据。
7. 跨站脚本攻击（XSS）：攻击者通过诱导用户的浏览器执行恶意脚本，来窃取用户信息、篡改网页内容或执行其他恶意操作。XSS 攻击包括存储型 XSS、基于 DOM 的 XSS 和反射型 XSS 三种类型。
8. 不安全的反序列化：应用程序在反序列化不受信任的数据时，可能会引入安全风险，如远程代码执行、对象注入攻击等。攻击者可利用这些漏洞来破坏系统或窃取数据。
9. 使用具有已知漏洞的组件：使用存在已知安全漏洞的第三方库、框架或组件，可能会使应用程序面临风险，因为攻击者可利用这些漏洞来攻击应用程序。
10. 日志记录和监控不足：缺乏详细的日志记录和实时监控，会导致难以检测和响应安全事件。攻击者可利用这一点在不被察觉的情况下进行攻击，或者在攻击发生后难以追踪溯源。