OWASP Top 10
OWASP Top 10 是针对开发人员和 Web 应用程序安全性的标准意识文档。它代表了对 Web 应用程序最关键的安全风险的广泛共识。
开发人员在全球范围内将其视为迈向更安全编码的第一步。
公司应采用本文件并开始确保其网络应用程序将这些风险降至最低的过程。使用 OWASP Top 10 可能是将组织内的软件开发文化转变为生成更安全代码的文化的最有效的第一步。
十大 Web 应用程序安全风险
2021 年的前 10 名中有 3 个新类别、4 个更改了名称和范围的类别以及一些合并。
- A01:2021-Broken Access 失效的访问控制从第五位上移；94% 的应用程序都针对某种形式的损坏访问控制进行了测试。映射到损坏的访问控制的 34 个常见弱点枚举 (CWE) 在应用程序中的出现次数比任何其他类别都多。
- A02:2021-Cryptographic Failures 加密失败上升一位到第 2 位，以前称为敏感数据泄露，这是一个广泛的症状而不是根本原因。这里重新关注与密码学相关的故障，这些故障通常会导致敏感数据泄露或系统受损。
- A03:2021-Injection 注射滑到第三个位置。94% 的应用程序针对某种形式的注入进行了测试，映射到该类别的 33 个 CWE 在应用程序中出现次数第二多。跨站点脚本现在是此版本中此类别的一部分。
- A04:2021-Insecure Design 不安全的设计是 2021 年的一个新类别，重点关注与设计缺陷相关的风险。如果我们真的想作为一个行业“向左移动”，就需要更多地使用威胁建模、安全设计模式和原则以及参考架构。
- A05:2021-Security Misconfiguration 安全配置错误从上一版的#6 上移；90% 的应用程序都针对某种形式的错误配置进行了测试。随着越来越多的人转向高度可配置的软件，看到这一类别上升也就不足为奇了。以前的 XML 外部实体 (XXE) 类别现在属于此类别。
- A06:2021-Vulnerable and Outdated Components 易受攻击和过时的组件之前的标题是使用具有已知漏洞的组件，在 Top 10 社区调查中排名第二，但也有足够的数据通过数据分析进入前 10 名。此类别从 2017 年的第 9 位上升，是我们努力测试和评估风险的已知问题。它是唯一没有将任何常见漏洞和暴露 (CVE) 映射到包含的 CWE 的类别，因此默认的漏洞利用和影响权重 5.0 被计入其分数。
- A07:2021-Identification and Authentication Failures 认证和授权失败之前是Broken Authentication，从第二的位置往下滑，现在包括了更多与身份验证失败相关的CWEs。该类别仍然是前 10 名中不可或缺的一部分，但标准化框架的可用性增加似乎有所帮助。
- A08:2021-Software and Data Integrity Failures 软件和数据完整性故障是 2021 年的新类别，专注于在不验证完整性的情况下做出与软件更新、关键数据和 CI/CD 管道相关的假设。Common Vulnerability and Exposures/Common Vulnerability Scoring System (CVE/CVSS) 数据映射到此类别的 10 个 CWE 的最高权重影响之一。2017 年的不安全反序列化现在是这个更大类别的一部分。
- A09:2021-Security Logging and Monitoring Failures 安全日志记录和监控失败以前是 Insufficient Logging & Monitoring，是从行业调查 (#3) 中添加的，从之前的 #10 上升。此类别已扩展以包括更多类型的故障，测试起来具有挑战性，并且在 CVE/CVSS 数据中没有得到很好的体现。但是，此类故障会直接影响可见性、事件警报和取证。
- A10:2021-Server-Side Request Forgery 服务器请求伪造是从 Top 10 社区调查（#1）中添加的。数据显示发生率相对较低，测试覆盖率高于平均水平，以及利用和影响潜力的评级高于平均水平。此类别代表安全社区成员告诉我们这很重要的场景，即使此时数据中未说明这一点。
以上内容摘抄自官方，翻译为谷歌翻译
本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来源 GML的博客！
wechat
alipay
相关推荐
2023-04-14
file-upload绕过
前端校验前段校验，狗都防不了 MIME验证使用bp抓包，修改上传的content-type为image/png 文件内容头校验主要是检测文件内容开始处的文件幻数 （1） .JPEG;.JPE;.JPG，”JPGGraphic File” （2） .gif，”GIF 89A” （3） .zip，”Zip Compressed” （4） .doc;.xls;.xlt;.ppt;.apr，”MS Compound Document v1 or Lotus Approach APRfile” 分析是否为黑名单或白名单上传的后缀名写一个不存在的，如：shell.xxx 查看是否上传成功，成功为黑名单，失败为白名单 黑名单 特殊后缀 大小写绕过 双重后缀 空格绕过 点号绕过 特殊字符::$DATA绕过 加点空格点 上传shell.php 然后用bp改后缀加点空格点（即文件名为shell.php....
2023-04-17
sql注入的分类及概念
基于从服务器接收到的响应 基于错误的 SQL 注入 联合查询的类型 堆查询注射 SQL 盲注 基于布尔 SQL 盲注Mysql 注入 基于时间的 SQL 盲注 基于报错的 SQL 盲注 基于如何处理输入的 SQL 查询（数据类型） 基于字符串 数字或整数为基础的 基于程度和顺序的注入 一阶注射 一阶注射是指输入的注射语句对 WEB 直接产生了影响，出现了结果 二阶注射 二阶注入类似存 储型 XSS，是指输入提交的语句，无法直接对 WEB 应用程序产生影响，通过其它的辅助间 接的对 WEB 产生危害，这样的就被称为是二阶注入. 基于注入点的位置上的 通过用户输入的表单域的注射。 通过 cookie 注射。 通过服务器变量注射。 （基于头部信息的注射） 以上摘抄自《sqlilabsg过关手册注入天书》自己大致总结如下 联合查询 堆叠查询 报错注入 布尔盲注 时间盲注 宽字节注入 二阶注入 头部注入 数字型/字符型注入判断 id 数字型（id=id） 字符型...
2023-04-17
信息收集
一、域名信息whois查询whois信息在线收集地址站长之家：...
2023-04-16
渗透测试面经整理
思路流程信息收集 服务器的相关信息（真实ip，系统类型，版本，开放端口，WAF等） 网站指纹识别（包括，cms，cdn，证书等），dns记录 whois信息，姓名，备案，邮箱，电话反查（邮箱丢社工库，社工准备等） 子域名收集，旁站，C段等 google hacking针对化搜索，pdf文件，中间件版本，弱口令扫描等 扫描网站目录结构，爆后台，网站banner，测试文件，备份等敏感文件泄漏等 传输协议，通用漏洞，exp，github源码等 漏洞挖掘 浏览网站，看看网站规模，功能，特点等 端口，弱口令，目录等扫描,对响应的端口进行漏洞探测，比如 rsync,心脏出血，mysql,ftp,ssh弱口令等。 XSS，SQL注入，上传，命令注入，CSRF，cookie安全检测，敏感信息，通信数据传输，暴力破解，任意文件上传，越权访问，未授权访问，目录遍历，文件 包含，重放攻击（短信轰炸），服务器漏洞检测，最后使用漏扫工具等 漏洞利用&权限提升 mysql提权，serv-u提权，oracle提权 windows...
2023-04-13
系统敏感文件
1234567891011121314151617181920212223242526Windows： C:\boot.ini //查看系统版本 C:\Windows\System32\inetsrv\MetaBase.xml //IIS配置文件 C:\Windows\repair\sam //存储系统初次安装的密码 C:\Program Files\mysql\my.ini //Mysql配置 C:\Program Files\mysql\data\mysql\user.MYD //Mysql root C:\Windows\php.ini //php配置信息 C:\Windows\my.ini //Mysql配置信息Linux： /root/.ssh/authorized_keys //SSH密钥对中的公钥列表 /root/.ssh/id_rsa //SSH密钥对中的私钥部分 /root/.ssh/id_ras.keystore /root/.ssh/known_hosts //系统曾经连接过的 SSH...
