Web应用安全编码

配色参考方案：以下为三组配色方案。（仅供参考）配色参考方案：以下为三组配色方案。（仅供参考）英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色Web应用安全编码安全技术研究所中国移动通信研究院英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）内容简介12010OWASPTOP102OWASPTOP10漏洞攻防3小结英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2007OWASPTOP10NO.安全风险名称描述A1跨站脚本CrossSiteScripting如果Web应用没有对攻击者的输入进行适当的编码和过滤，就转发给其他用户的浏览器时，可能导致XSS漏洞。攻击者可利用XSS在其他用户的浏览器中运行恶意脚本，偷窃用户的会话，或是偷偷模拟用户执行非法的操作；A2注入InjectionFlaws如果Web应用没有对攻击者的输入进行适当的编码和过滤，就用于构造数据库查询或操作系统命令时，可能导致注入漏洞。攻击者可利用注入漏洞诱使Web应用执行未预见的命令（即命令注入攻击）或数据库查询（即SQL注入攻击）。A3恶意代码执行MaliciousFileExecution如果Web应用允许用户上传文件，但对上传文件名未作适当的过滤时，用户可能上载恶意的脚本文件（通常是Web服务器支持的格式，如ASP，PHP等）；脚本文件在Include子文件时，如果Include路径可以被用户输入影响，那么可能造成实际包含的是黑客指定的恶意代码；上述两种情况是造成恶意代码执行的最常见原因。A4对象直接引用InsecureDirectObjectReference访问内部资源时，如果访问的路径（对文件而言是路径，对数据库而言是主键）可被攻击者篡改，而系统未作权限控制与检查的话，可能导致攻击者利用此访问其他未预见的资源；A5跨站请求伪造CrossSiteRequestForgeryCSRF攻击即攻击者在用户未察觉的情况下，迫使用户的浏览器发起未预见的请求，其结果往往损害用户本身的利益。CSRF攻击大多利用Web应用的XSS漏洞，也有很多CSRF攻击没有利用XSS而是利用了HTML标签的特性。英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2007OWASPTOP10NO.安全风险名称描述A6信息泄露与错误处理不当InformationLeakageandImproperErrorHandlingWeb应用可能不经意地泄露其配置、服务器版本、数据库查询语句、部署路径等信息，或是泄露用户的隐私。攻击者可利用这些弱点盗窃敏感信息。A7认证与会话管理不当BrokenAuthenticationandSessionManagement如果Web应用的认证与会话处理不当，可能被攻击者利用来伪装其他用户身份A8存储不安全InsecureCryptographicStorge如果Web应用没有正确加密存储敏感信息，可能被攻击者盗取。例如攻击者可能通过SQL注入手段获取其他用户的密码，如果Web应用对密码进行了加密，就可以降低此类威胁。A9通讯加密不安全InsecureCommunication如果Web应用没有对网络通讯中包含的敏感信息进行加密，可能被窃听A10URL访问控制不当FailuretoRestrictURLAccess如果Web应用对URL访问控制不当，可能造成用户直接在浏览器中输入URL，访问不该访问的页面英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2010OWASPTOP10(NO.1-NO.5)NO.安全风险名称描述A1注入InjectionFlaws注入攻击漏洞，例如SQL,OS以及LDAP注入。这些攻击发生在当不可信的数据作为命令或者查询语句的一部分，被发送给解释器的时候。攻击者发送的恶意数据可以欺骗解释器，以执行计划外的命令或者访问未被授权的数据。A2跨站脚本XSS-CrossSiteScripting当应用程序收到含有不可信的数据，在没有进行适当的验证和转义的情况下，就将它发送给一个网页浏览器，这就会产生跨站脚本攻击（简称XSS）。XSS允许攻击者在受害者的浏览器上执行脚本，从而劫持用户会话、危害网站、或者将用户转向至恶意网站A3身份认证和会话管理不当BrokenAuthenticationandSessionManagement与身份认证和会话管理相关的应用程序功能往往得不到正确的实现，这就导致了攻击者破坏密码、密匙、会话令牌或攻击其他的漏洞去冒充其他用户的身份A4不安全的对象直接引用InsecureDirectObjectReference当开发人员暴露一个对内部实现对象的引用时，例如，一个文件、目录或者数据库主键，就会产生一个不安全的直接对象引用。在没有访问控制检测或其他保护时，攻击者会操控这些引用去访问未授权数据A5跨站请求伪造CSRF-CrossSiteRequestForgery一个跨站请求伪造攻击迫使登录用户的浏览器将伪造的HTTP请求，包括该用户的会话cookie和其他认证信息，发送到一个存在漏洞的web应用程序。这就允许了攻击者迫使用户浏览器向存在漏洞的应用程序发送请求，而这些请求会被应用程序认为是用户的合法请求英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2010OWASPTOP10(NO.6-NO.10)NO.安全风险名称描述A6安全配置错误SecurityMisconfiguration好的安全需要对应用程序、框架、应用程序服务器、web服务器、数据库服务器和平台，定义和执行安全配置。由于许多设置的默认值并不是安全的，因此，必须定义、实施和维护所有这些设置。这包含了对所有的软件保持及时地更新，包括所有应用程序的库文件A7存储不安全InsecureCryptographicStorge许多web应用程序并没有使用恰当的加密措施或Hash算法保护敏感数据，比如信用卡、社会安全号码(SSN)、身份认证证书等等。攻击者可能利用这种弱保护数据实行身份盗窃、信用卡诈骗或其他犯罪A8URL访问控制不当FailuretoRestrictURLAccess许多web应用程序在显示受保护的链接和按钮之前会检测URL访问权限。但是，当这些页面时被访问时，应用程序也需要执行类似的访问控制检测，否则攻击者将可以伪造这些URL去访问隐藏的网页A9不安全的通信InsecureCommunication应用程序时常没有进行身份认证，加密措施，甚至没有保护敏感网络数据的保密性和完整性。而当进行保护时，应用程序有时采用弱算法、使用过期或无效的证书，或不正确地使用这些技术A10未经认证的重定向和转发UnvalidatedRedirectsandForwardsWeb应用程序经常将用户重定向和转发到其他网页和网站，并且利用不可信的数据去判定目的页面。如果没有得到适当验证，攻击者可以重定向受害用户到钓鱼软件或恶意网站，或者使用转发去访问未授权的页面英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）Web安全风险变化OWASPTop10–2007OWASPTop10–2010A2–注入漏洞A1–注入InjectionA1–跨站脚本(XSS)A2–跨站脚本CrossSiteScripting(XSS)A7–失效的身份认证和会话管理A3–失效的身份认证和会话管理BrokenAuthenticationandSessionManagementA4–不安全的直接对象引用A4–不安全的直接对象引用InsecureDirectObjectReferencesA5–跨站请求伪造(CSRF)A5–跨站请求伪造CrossSiteRequestForgery(CSRF)曾经是2004年T10中的A10－不安全配置管理A6–安全配置错误（新）SecurityMisconfiguration(NEW)A8–不安全的加密存储A7–不安全的加密存储InsecureCryptographicStorageA10–没有限制URL访问A8–没有限制URL访问FailuretoRestrictURLAccessA9–不安全的通信A9–传输层保护不足InsufficientTransportLayerProtection不在2007年T10中A10–未验证的重定向和转发（新）UnvalidatedRedirectsandForwards(NEW)A3–恶意文件执行从2010年T10中删除A6–信息泄漏和不恰当的错误处理从2010年T10中删除++--===英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）OWASPTOP10，您打算从哪里开始？23456789101英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）内容简介12010OWASPTOP102OWASPTOP10漏洞攻防3小结英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2010OWASPTOP10-NO.10A10未经认证的重定向和转发UnvalidatedRedirectsandForwardsWeb应用程序经常将用户重定向和转发到其他网页和网站，并且利用不可信的数据去判定目的页面。如果没有得到适当验证，攻击者可以重定向受害用户到钓鱼软件或恶意网站，或者使用转发去访问未授权的页面攻击者可能利用未经验证的重定向目标来实现钓鱼欺骗，诱骗用户访问恶意站点。攻击者可能利用未经验证的跳转目标来绕过网站的访问控制检查。利用重定向的钓鱼链接：=更为隐蔽的重定向钓鱼链接：利用跳转绕过网站的访问控制检查：=admin.asp实例：英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2010OWASPTOP10-NO.10尽量不用重定向和跳转对重定向或跳转的参数内容进行检查，拒绝站外地址或特定站内页面不在URL中显示目标地址，以映射的代码表示（=234)主要防范措施英文正文标题字体：Arial字号：32（加粗）颜色：黑色英文正文字体：Arial字号：16颜色：黑色配色参考方案：以下为三组配色方案。（仅供参考）2010OWASPTOP10-NO.9A9不安全的通信InsecureCommunication应用程序时常没有进行身份认证，加密措施，甚至没有保护敏感网络数据的保密性和完整性。而当进行保护时，应用程序有时采用弱算法、使用过期或无效的证书，或不正确地使用这些技术网络窃听（Sniffer）可以捕获网络中流过