1、什么是OWASP？
OWASP（开放式Web应用程序安全项目）是一个开放的社区，由非营利组织 OWASP基金会支持的项目。对所有致力于改进应用程序安全的人士开放，旨在提高对应用程序安全性的认识。
其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结并更新Web应用程序中最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识。
最重要的版本
应用程序中最严重的十大风险
2、TOP 10 分别是哪些？
1. SQL注入
攻击方式
通过恶意字符将恶意代码写入数据库，使其运行，产生敏感数据泄露，数据库读取，进一步在数据库执行命令
攻击类型
- 未审计的数据框架
- 直接使用网址URL直接传递变量
- 未过滤的特殊字符串
- SQL错误回显
- SQL注入
- 获取敏感信息进一步在服务器执行命令，实现接管服务器的目的
防护措施
- 关闭SQL错误回显
- 对输入的字符做转译处理
- 对前端输入做白名单验证（长度，类型）
- 使用一个成熟的WAF
- 白盒审计（代码审计）
- SQL服务运行于专门的账号，并给予最小权限
2. 失效的身份认证
攻击方式
攻击者利用网站中身份认证缺陷，以此来获取高权限，攻击服务器
攻击类型
- 弱口令
- 盗用身份和账号
- 修改网络数据包以此获取用户账号权限
- 网站设计不良，可以绕过登录页面
- 设计者忘记设置注销登录，使之有机可乘
防护措施
- 网站的登录页面就使用加密连接
- 网站应该具体良好的权限控制与管理
- 网站应该具备超时注销机制
3. 敏感数据泄露
攻击方式
通过扫描发现应用程序有敏感信息
攻击类型
- 应用人员或者开发人员无意间上传敏感数据到Github，导致网站文件泄露
- 敏感数据文件设置错误，导致数据库备份文件泄露
防护措施
- 对于github泄露，定期对仓库进行扫描
- 对网站应用目录定期扫描
4. XML外部实体（XXE）
攻击方式
当应用程序解析XML文件时包含了对外部实体的的引用，通过构造恶意的XML代码，读取指定的服务器数据或资源。
攻击类型
- 读取服务器的数据或者资源 /etc/password
- 读取应用程序源码
防护措施
5. 失效的访问控制
攻击方式
没有校验身份，直接导致攻击者绕过权限直接访问
攻击类型
- 绕过路径，如未读取的参数进行检查，导致路径绕过并进行读取敏感文件操作
- 权限提升，如未对权限进行检查，导致攻击者变更权限
- 垂直越权，导致攻击者可以从普通用户权限提升到管理员的用户权限
- 水平越权，导致攻击者可以从用户a的权限提升到用户b的权限
防护措施
- 对参数的白名单做过滤
- 对权限的控制管理重新设计与限制 最小权限
- 限制下载文件的类型
6. 安全配置错误
攻击方式
攻击者利用错误的配置，访问敏感信息或者提升权限
目录遍历
攻击类型
- 开发或者维护人员设置了错误的配置，如 python 开发中对于 Django 框架在生产环境启用了 Debug 模式
- 目录遍历
防护措施
- 检查文件扩展名
- 重命名上传文件
- 控制上传文件的权限，如关闭权限
- 移除不常用的页面，如安装目录文件
- 移除临时文件，备份文件
- 不使用常用的、简单的命名规则，防止被猜测
- 定义白名单
7. 跨站脚本（XSS）
攻击方式
攻击者使用恶意字符嵌入应用程序代码中并运行，盗取应用程序数据
攻击类型
防护措施
- 验证输入/接收的字符，过滤或者替换非法字符
- 使用白名单机制
8. 不安全的反序列化
攻击方式
攻击者利用应用程序反序列化功能，构造恶意的反序列化对象攻击应用程序
攻击类型
防护措施
- 对数据对象签名，并作完整检查
- 数据对象中的数据做严格的类型检查，限制一部分恶意攻击
- 隔离反序列化操作环境，对序列化和反序列化进行白名单验证
- 在执行反序列化之前，对用户输入数据执行验证和过滤
9. 使用含有已知漏洞的组件
攻击方式
使用应用程序中的框架、库、组件、工具等已知漏洞攻击，获取高权限或者敏感数据
攻击类型
- 敏感信息泄露
- 提升权限
- 远程代码执行
- SQL注入
- 反序列化
- 配置错误
防护措施
10. 不足的日志记录和监控
攻击方式
对于日志记录的监控不足，导致攻击者攻击系统、应用、盗取数据等操作无法被及时发现和追查
攻击类型
防护措施
- 规范化的日志设置，提供清晰易读的操作手册，以便于后期阅读和维护
- 优化监控策略和报警流程，建立完善的规则库，以便于触发相关告警，及时通知相关人员处理
- 加强人才培训和引进专业人才，安全意识培训，聘请专业经验丰富的加入团队，提高水平