移除或不安装不适用的功能和框架。 检查和修复安全配置项来适应最新的安全说明、更新和补丁,并将其作为更新管理过程的一部分,(参见A9:2017-使用含有已知漏洞的组件)。在检查过程中,应特别注意云存储权限(如:S3桶权限)。 一个能在组件和用户间提供有效的分离和安全性的分段应用程序架构,包括:分段、容器化和云安全...
OWASP多年来经历了几次迭代。 OWASP Top 10的版本分别在2004年,2007年,2010年,2013年和2017年发布。从2013到2017年发生了哪些变化?OWASP在发布2017年10大安全风险后表示,“在过去的四年里,技术与应用正在加速变化,OWASP Top 10的排名也需要随之改变。因此,我们完全重构了OWASP Top 10的修改方法,利用一种新...
XSS允许攻击者在受害者的浏览器中执行脚本,这些脚本可以劫持用户会话,破坏网站或将用户重定向到恶意网站。 A8:2017-不安全的反序列化(新增) 不安全的反序列化通常导致远程代码执行。即使反序列化瑕疵不会导致远程代码执行,也可以用来执行攻击,包括重播攻击,注入攻击和特权升级攻击。 A9:2017-使用含有已知漏洞的组件 ...
近日,开放式 Web 应用程序安全项目(OWASP)发布了最终版 2017 Top 10 榜单。在 2017 威胁榜单中,注入攻击漏洞仍然位居 Top 10 威胁之首,而 XSS 的威胁程度从 A3 降到了 A7。敏感信息泄露、安全配置错误、失效的访问控制等威胁均有提升,值得企业重视。 与此同时,榜单中还出现了一些新的安全威胁,包括 XXE 漏洞...
OWASP Top 10 ——应用安全风险– 2017 A1:2017-注入 将不受信任的数据作为命令或查询的一部分发送到解析器时,会产生诸如SQL注入、NoSQL注入、OS注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。
OWASP Top 10多年来经历了几次迭代,之前的版本包括2004年、2007年、2010年、2013年和2017年发布。 从发布的表中,我们可以看到“注入”仍然是应用安全风险中排名第一。虽然排名顺序发生了细微的变化,但2017年的owasp中出现了三名新成员,他们分别是 XML外部实体(XXE),不安全的反序列化,以及不足的记录和监控。
近日,开放式 Web 应用程序安全项目(OWASP)发布了最终版 2017 Top 10 榜单。在 2017 威胁榜单中,注入攻击漏洞仍然位居 Top 10 威胁之首,而 XSS 的威胁程度从 A3 降到了 A7。敏感信息泄露、安全配置错误、失效的访问控制等威胁均有提升,值得企业重视。
本文使用的是OWASP TOP 10的2017年标准。 关于OWASP-TOP10的介绍:https://www.safedog.cn/news/5092.html [严重程度TOP1] 注入 注入漏洞在当今的应用中非常普遍,之所以出现这些漏洞 是因为web应用程序会将用户所控制的输入数据解释为实际的命令或参数;注入攻击取决于当前web应用程序正在使用的技术以及这些技术会如何...
OWASP(开放式Web应用程序安全项目)近日公布2017 OWASP Top10(十大安全漏洞列表),增加了2个新分类。 背景介绍 OWASP项目最具权威的就是其"十大安全漏洞列表"。这个列表总结了Web应用程序最可能、最常见、最危险的十大漏洞,可以帮助IT公司和开发团队规范应用程序开发流程和测试流程,提高Web产品的安全性。
A3:2017-敏感数据泄露 许多Web应用程序和API都无法正确保护敏感数据,例如:财务数据、医疗数据和PII数据。攻击者可以通过窃取或修改未加密的数据来实施信用卡诈骗、身份盗窃或其他犯罪行为。未加密的敏感数据容易受到破坏,因此,我们需要对敏感数据加密,这些数据包括:传输过程中的数据、存储的数据以及浏览器的交互数据。