1、访问控制的崩溃：
通过身份验证的用户可以访问其他用户的信息，越权
达成方式：通过修改url、内部应用程序状态或html页面绕过
防范：除了公有资源外，默认情况下拒绝访问，严格判断权限，记录失败的访问控制及时上报告警，
2、敏感数据泄露：
达成方式：用户安全意识参差不齐
防范：加强员工意识，谨慎使用第三方软件，禁止使用工作邮箱注册非工作相关网站
3、注入
将sql命令或xss插入到web表单进行查询
达成方式：通过web表单和url填入sql语句执行
防范：对用户进行分级管理，禁止将变量写入sql语句，提交变量时对引号，单引号，冒号等字符进行
转换或者过滤，按时进行扫描系统存在的相应漏洞，多层验证，数据库信息加密
4、不安全的设计
逻辑漏洞
5、配置安全不当
不安全的默认配置、不完整的临时配置、开源云存储、错误的http标头配置以及包含敏感信息的详细错
误信息造成的
达成方式：应用程序启用或安装了不必要的安全功能，默认账号名和密码没有修改，应用软件已过期或
出了新版本未更新，应用程序服务器，应用程序服务器，应用程序框架等未进行安全配置，错误处理机
制披露大量敏感信息，对于更新的系统，禁用或不安全地配置安全功能
防范：按照加固手册加固，搭建最小平台，不包含任何不必要的功能、组件、文档和示例，临时文件要
及时删除
6、使用含有已知漏洞组件
软件易受攻击，不再支持或者过时。这包括：OS，Web服务器，应用框架服务器，数据库管理系统，
应用程序，API和所有地组件，运行环境和库；没有对更新地、升级地或者打过补丁地组件进行兼容性
测试
防范：移除不使用的依赖、不需要地功能、组件、文件和文档，仅从官方渠道安全的获取组件，并使用
前面机制来降低组件被篡改或加入恶意漏洞的风险；监控那些不在维护或者不发布安全补丁的库和组件
7、身份识别和身份验证错误
允许暴力破解的密码或者账号，允许默认的、弱的或总所周知的密码，使用明文、加密或弱散列密码，
缺少或失效的多因素身份验证，暴露url中的会话id，旧密码泄露，会话id使用时间过长
防范：在可能的情况下，实现多因素身份验证，检查弱口令，限制或逐渐延迟失败的登录尝试，使用服
务端安全的内置会话管理器
8、软件和数据完整性失败
防范：使用数字签名或类似机制来验证软件或数据来自预期来源且未被更改；确保使用安全工具验证组
件不包含已知漏洞，确保未签名或未加密的序列化数据不会在没有检查或数字签名的情况下发送到不受
信任的客户端
9、不足的安全日志和监控故障
内检能力不足，没有办法在别人攻击的时候发现
防范：确保所有登录、访问控制失败、输入验证失败能够被记录到日志中去，并保留足够的用户上下文
信息，确保日志以一种能被集中管理解决方案使用的形式生成，确保高额交易有完整性控制的审计信
息，以防止篡改或删除，审计信息保存在只能进行记录增加 的数据库表中
10、服务器请求伪造
ssrf利用一个可以发起网络请求的服务，当做跳板来攻击其他服务，使用web服务器作为代理来进行攻
击
防范：检查和验证所有客户端提供的输入数据，使用白名单允许列表执行url统一资源标志端、端口和目
标，不发送原始的回复，禁用http重定向