10项最严重的 Web 应用程序安全风险

OWASP Top 10 2017

10项最严重的 Web 应用程序安全风险

 

关于OWASP

“开源Web应用安全项目”（OWASP）是一个开放的社区， 致力于帮助各企业组织开发、购买和维护可信任的应用程序。

在OWASP ，您可以找到以下免费和开源的信息：

• 应用安全工具和标准；

• 关于应用安全测试、安全代码开发和安全代码审查 方面的完整书籍；

• 演示文稿和视频；

• 关于常见风险的Cheat Sheets；

• 标准的安全控制和安全库；

• 全球各地分会；

• 尖端技术研究；

• 专业的全球会议；

• 邮件列表。

 

所有的OWASP工具、文档、论坛和全球各地分会都是开放 的，并对所有致力于改进应用程序安全的人士开放。

我们主张将应用程序安全问题看作是人、过程和技术的问题， 因为提供应用程序安全最有效的方法是在这些方面提升。

OWASP是一个新型组织。我们没有商业压力，使得我们能 够提供无偏见、实用、低成本的应用安全信息。 尽管OWASP支 持合理使用商业安全技术，但OWASP不隶属于任何技术公司。 和许多开源软件项目一样，OWASP以一种协作、开放的方式制 作了许多不同种类的材料。

OWASP基金会是确保项目长期成功的非营利性组织。几乎 每一个与OWASP相关的人都是一名志愿者，这包括了OWASP 董事会、全球各地分会会长、项目领导和项目成员。用资金 和基础设备来支持创新的安全研究。

期待您的加入！

 

目录

关于OWASP ………………………………………………………………………….… 1

FW- 前言 ………………………………………………………………………..……… 2

I- 简介……………………………………………………………………………….……3

RN- 发布说明……………………………………………………………………………4

Risk- 应用程序安全风险……………………………………………………………..…5

T10- OWASP Top 10 应用软件安全 -风险 – 2017 …………………………….…...6

A1:2017- 注入 ……………………………………………………………………..…..7

A2:2017- 失效的身份认证………………………………………………….….......… 8

A3:2017- 敏感信息泄露………………………………………..………..…….......… 9

A4:2017- XML 外部实体（XXE）……………………………………………………10

A5:2017- 失效的访问控制……………………………………………………………11

A6:2017- 安全配置错误……………………………………………..……………..…12

A7:2017- 跨站脚本（XSS）…………………………………………………….……13

A8:2017- 不安全的反序列化…………………………………………………..…..…14

A9:2017- 使用含有已知漏洞的组件……………………………………..………..…15

A10:2017- 不足的日志记录和监控………………………………………….…….…16

+D- 开发人员下一步做什么？……………………………………………………..…17

+T- 安全测试下一步做什么？…………………………………………………………18

+O- 企业组织下一步做什么？…………………………………………………..……19

+A- 应用程序管理者下一步做什么？………………………………………..………20

+R- 关于风险的备注说明……………………………………………………..………21

+RF- 关于风险因素的详细说明…………………………………………….…………22

+DAT- 方法论和数据………………………………………………………….………23

 

扫描下方，阅读全文，全面了解OWASP