OWASP 是什么？介绍 OWASP Top 10 漏洞和风险

风险出现在 “OWASP Top 10” 列表中，不一定表明其在所有 Web 应用中具有普遍性或严重性，并且十大风险并未按特定顺序或优先级排名。

“OWASP Top 10” 列表在 2021 年列出的 Web 应用安全风险包括：

“OWASP Top 10” 列表在 2021 年列出的 Web 应用安全风险包括：

1. 访问控制失效。当未能充分执行访问控制和授权措施，使攻击者能够未经授权地访问功能或数据时，即表示出现此类漏洞。这可能是由不安全的直接对象引用 (IDOR) 导致的。当用户输入被用作对内部对象的直接引用时，如果应用无法对其进行验证或授权，就可能会出现 IDOR。缺少功能级别的访问控制也可能导致此类情况的发生，即应用仅在初始身份验证或授权阶段对访问控制进行检验，但未在应用的整个功能或操作中始终如一地执行这些控制措施。Web 应用防火墙 (WAF) 可以监控并执行访问控制，阻止未经授权地访问敏感对象或资源，从而帮助防范此类攻击。

2. 加密失效。导致此类风险的原因是在敏感数据的传输和静止期间对其保护不足。加密失效可能导致数据受到侵害，保密资料遭到未经授权的访问，以及违反《欧盟通用数据保护条例 (GDPR)》等数据隐私法规和《PCI 数据安全标准 (PCI DSS)》等金融标准。不安全的加密存储、以纯文本形式存储数据或不安全的密钥管理都可能导致此类故障。此外，弱密钥、弱随机数生成，或密码学协议中的缺陷所导致的信息泄露也可能引发此类风险。
3. 注入攻击。当攻击者将不受信任或恶意的数据插入命令或查询语言时，或当用户提供的数据未经应用检验、过滤或净化，导致意外执行恶意命令时，就会产生注入缺陷。此类风险广泛涉及 NoSQL、操作系统命令、LDAP 和 SQL 注入攻击，还包括跨站脚本 (XSS)，即攻击者将恶意客户端脚本（如 JavaScript 脚本）注入到其他用户查看的网页中。此类攻击可能导致登录凭据、个人数据或会话 Cookie 等敏感信息被盗。对于传入的请求，包括反射的（非持久）、存储的（持久）和基于文档对象模块 (DOM) 的 XSS，WAF 可以对它们进行检查和过滤。这有助于检测和阻止恶意代码的注入尝试，阻止它们到达应用。
4. 不安全的设计。这是一个涵盖范围广泛的类别，代表了不同的弱点，具体表现为安全控制措施缺失或无效，以及架构存在缺陷。当应用的设计依赖于本质上不安全的流程，或没有实施必要的安全控制措施，以抵御特定的攻击时，就会出现这些缺陷。通过增加对威胁建模、安全设计模式和参考架构的使用，可以降低这些风险。
5. 安全配置错误。Web 应用框架、平台、服务器或安全控制措施若缺乏安全强化，可能会导致未经授权的访问、敏感信息的暴露，或其他安全漏洞。云服务权限配置不当，或安装并启用了不必要的功能（如未使用的端口、服务、帐户或权限），也可能导致安全配置错误，进而引发风险。Web 应用和 API 的配置错误是一项重大风险，因为各大云服务提供商默认的安全态势不尽相同，并且架构正逐渐去中心化，分布在多云结构中。
6. 易受攻击和过时的组件。使用过时、未修补或易受攻击的组件（如库、框架或插件）可能会使应用暴露出已知的安全缺陷，增加隐患遭到利用的风险。这些风险可能源于不受支持或过时的软件，包括操作系统 (OS)、Web/应用服务器、数据库管理系统 (DBMS)、应用、API 以及所有组件、运行时环境和库。如果组织未曾针对系统底层平台、框架和依赖项建立及时、基于风险的修复或升级措施，这些威胁将变得尤其危险，使系统不必要地暴露在已知风险中，并长达数天或数周之久。复杂的软件供应链和通过 CI/CD 管道实现的自动化流程增加了将易受攻击的软件引入 IT 堆栈的风险。WAF 可以作为关键的临时应急工具，防止漏洞遭到利用。
7. 安全日志与监控失效。日志记录与监控的不完善会妨碍对安全事件的及时发现和响应，从而难以识别和减少攻击或未经授权的活动。这可能意味着登录、登录失败和高价值交易等可审计事件无法被识别或记录下来，而应用也无法实时检测正在进行的攻击。
8. 软件和数据的完整性失效。此类漏洞源于应用代码和基础设施未能防范数据和软件的完整性受到破坏。当应用所依赖的插件、库或模块来自不受信任的来源、仓库和 CDN 时，可能会出现此类情况。在更新软件、修改敏感数据以及变更未经验证的 CI/CD 管道时，也可能发生此类情况。攻击者可能会上传自己的更新，试图在所有安装设备上分发和运行。不安全的反序列化也是此类风险的来源之一，即应用在不进行数据有效性检验的情况下，接收并使用不受信任的序列化数据，这可能导致远程代码执行 (RCE) 和权限提升等攻击。
9. 安全日志与监控失效。日志记录与监控的不完善会妨碍对安全事件的及时发现和响应，从而难以识别和减少攻击或未经授权的活动。这可能意味着登录、登录失败和高价值交易等可审计事件无法被识别或记录下来，而应用也无法实时检测正在进行的攻击。
10. Server-Side Request Forgery (SSRF)。应用在提取远程资源中的数据之前，如果未验证或清洗用户输入的 URL，就可能引发此类漏洞。即使受到防火墙或其他防御措施的保护，攻击者也可以利用这些缺陷，迫使应用访问恶意网络目的地。如果目标资源与其他系统（如云端元数据服务或后端 API）之间存在信任关系，也会导致此类攻击，攻击者将能够向这些受信任的服务发出请求，并提取敏感信息，或执行未经授权的操作。有助于抑制 SSRF 风险的措施包括，对系统进行设计，实现最低权限的访问，并使用 WAF 在安全策略中明确定义统一资源标识符 (URI) 参数，然后指定允许/禁止访问这些参数的主机。

2021 年的“OWASP Top 10”列表与之前 2017 年的相比，反映了一些新的类别和命名变化。这些变化包括：将 2017 年“XML 外部实体 (XXE)”风险威胁整合到了 2021 年的“安全错误配置”类别中；将 2017 年的“跨站脚本 (XSS)”添加到了 2021 年的“注入”类别中；将 2017 年“不安全的反序列化”风险归入了 2021 年“软件和数据的完整性失效”类别中。