"OWASP Top 10 2017 v1.3中文最新版.pdf"
OWASP（Open Web Application Security Project，开源Web应用程序安全项目）是一个非盈利组织，致力于提高公众对Web应用安全的认识，并提供免费和开源的资源来帮助开发人员、企业以及组织构建更安全的网络应用。OWASP Top 10 是该组织发布的一份重要文档，列出了当前最严重的10种Web应用程序安全风险。
OWASP Top 10 2017版的10大风险包括：
1. A1:注入（Injection）
这种攻击发生在用户输入的数据未经适当验证和清理就被用来构造数据库查询、命令执行或其他动态内容时。常见的注入类型有SQL注入、OS命令注入和LDAP注入等。
2. A2:身份验证和会话管理（Broken Authentication and Session Management）
涉及用户登录、权限验证和会话控制的问题，如弱密码策略、不安全的会话ID生成与管理，可能导致账户被冒用。
3. A3:跨站脚本（Cross-Site Scripting, XSS）
XSS攻击允许攻击者在受害者的浏览器上执行恶意脚本，从而可以窃取敏感信息、进行钓鱼攻击或者操纵用户界面。
4. A4:XML外部实体（XML External Entity, XXE）
当XML解析器处理包含外部实体引用的恶意XML文档时，可能会导致敏感信息泄漏或服务器资源的滥用。
5. A5:脆弱的依赖性管理（Broken Dependency Management）
这是指应用程序使用了已知存在安全漏洞的第三方组件或库，这些漏洞可能被攻击者利用。
6. A6:安全配置错误（Security Misconfiguration）
不恰当的系统配置可能导致安全弱点，比如默认密码未更改、不必要的服务运行、过时的软件版本等。
7. A7:敏感数据暴露（Insecure Deserialization）
不安全的序列化可能导致攻击者能够控制或篡改序列化的对象，从而触发远程代码执行等严重后果。
8. A8:使用已知脆弱的组件（Using Components with Known Vulnerabilities）
使用有已知安全问题的库或框架可能会引入攻击路径，使攻击者能够利用这些漏洞。
9. A9:不足的HTTP只读资源保护（Insufficient Logging & Monitoring）
缺乏足够的日志记录和监控能力，使得攻击活动难以被检测和响应，降低了安全事件的及时发现和处理能力。
10. A10:不安全的直接对象引用（Insecure Direct Object References）
直接使用用户提供的输入来访问内部对象，可能导致数据泄露或权限绕过。
OWASP Top 10的每个条目都详细介绍了风险的性质、危害、示例以及防御措施。通过遵循OWASP的建议，开发者和组织可以提高其Web应用的安全性，减少潜在的安全威胁。OWASP还提供了其他各种工具、文档、会议和全球分会，以支持应用安全的提升。参与OWASP的社区，无论是贡献者还是使用者，都可以从中受益并共同推动网络安全的进步。
我的内容管理
展开
