当前位置： 首页 > news >正文

网络安全练气篇——OWASP TOP 10

news 文章来源：https://blog.csdn.net/weixin_55762309/article/details/139614210 2024/10/25 10:31:37

1、什么是OWASP？

OWASP（开放式Web应用程序安全项目）是一个开放的社区，由非营利组织 OWASP基金会支持的项目。对所有致力于改进应用程序安全的人士开放，旨在提高对应用程序安全性的认识。
其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结并更新Web应用程序中最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识。
最重要的版本
应用程序中最严重的十大风险

2、TOP   10   分别是哪些？

1. SQL注入

攻击方式

通过恶意字符将恶意代码写入数据库，使其运行，产生敏感数据泄露，数据库读取，进一步在数据库执行命令

攻击类型

  • 未审计的数据框架
  • 直接使用网址URL直接传递变量
  • 未过滤的特殊字符串
  • SQL错误回显
  • SQL注入
  • 获取敏感信息进一步在服务器执行命令，实现接管服务器的目的

防护措施

  • 关闭SQL错误回显
  • 对输入的字符做转译处理
  • 对前端输入做白名单验证（长度，类型）
  • 使用一个成熟的WAF
  • 白盒审计（代码审计）
  • SQL服务运行于专门的账号，并给予最小权限

2. 失效的身份认证

攻击方式

攻击者利用网站中身份认证缺陷，以此来获取高权限，攻击服务器

攻击类型

  • 弱口令
  • 盗用身份和账号
  • 修改网络数据包以此获取用户账号权限
  • 网站设计不良，可以绕过登录页面
  • 设计者忘记设置注销登录，使之有机可乘

防护措施

  • 网站的登录页面就使用加密连接
  • 网站应该具体良好的权限控制与管理
  • 网站应该具备超时注销机制

3. 敏感数据泄露

攻击方式

通过扫描发现应用程序有敏感信息

攻击类型

  • 应用人员或者开发人员无意间上传敏感数据到Github，导致网站文件泄露
  • 敏感数据文件设置错误，导致数据库备份文件泄露

防护措施

  • 对于github泄露，定期对仓库进行扫描
  • 对网站应用目录定期扫描

4. XML外部实体（XXE）

攻击方式

当应用程序解析XML文件时包含了对外部实体的的引用，通过构造恶意的XML代码，读取指定的服务器数据或资源。

攻击类型

  • 读取服务器的数据或者资源         /etc/password
  • 读取应用程序源码

防护措施

  • 关闭DTD
  • 禁止外部实体引入

5. 失效的访问控制

攻击方式

没有校验身份，直接导致攻击者绕过权限直接访问

攻击类型

  • 绕过路径，如未读取的参数进行检查，导致路径绕过并进行读取敏感文件操作
  • 权限提升，如未对权限进行检查，导致攻击者变更权限
  • 垂直越权，导致攻击者可以从普通用户权限提升到管理员的用户权限
  • 水平越权，导致攻击者可以从用户a的权限提升到用户b的权限

防护措施

  • 对参数的白名单做过滤
  • 对权限的控制管理重新设计与限制      最小权限
  • 限制下载文件的类型

6. 安全配置错误

攻击方式

攻击者利用错误的配置，访问敏感信息或者提升权限

目录遍历

攻击类型

  • 开发或者维护人员设置了错误的配置，如 python 开发中对于 Django 框架在生产环境启用了 Debug 模式
  • 目录遍历

防护措施

  • 检查文件扩展名
  • 重命名上传文件
  • 控制上传文件的权限，如关闭权限
  • 移除不常用的页面，如安装目录文件
  • 移除临时文件，备份文件
  • 不使用常用的、简单的命名规则，防止被猜测
  • 定义白名单

7. 跨站脚本（XSS）

攻击方式

攻击者使用恶意字符嵌入应用程序代码中并运行，盗取应用程序数据

攻击类型

  • 存储型XSS
  • DOM型XSS
  • 反射型XSS

防护措施

  • 验证输入/接收的字符，过滤或者替换非法字符
  • 使用白名单机制

8. 不安全的反序列化

攻击方式

攻击者利用应用程序反序列化功能，构造恶意的反序列化对象攻击应用程序

攻击类型

  • 远程代码执行RCE
  • 注入攻击
  • 越权
  • 远程命令执行

防护措施

  • 对数据对象签名，并作完整检查
  • 数据对象中的数据做严格的类型检查，限制一部分恶意攻击
  • 隔离反序列化操作环境，对序列化和反序列化进行白名单验证
  • 在执行反序列化之前，对用户输入数据执行验证和过滤

9. 使用含有已知漏洞的组件

攻击方式

使用应用程序中的框架、库、组件、工具等已知漏洞攻击，获取高权限或者敏感数据

攻击类型

  • 敏感信息泄露
  • 提升权限
  • 远程代码执行
  • SQL注入
  • 反序列化
  • 配置错误

防护措施

  • 及时更新、修复组件漏洞
  • 移除不再使用的依赖组件

10. 不足的日志记录和监控

攻击方式

对于日志记录的监控不足，导致攻击者攻击系统、应用、盗取数据等操作无法被及时发现和追查

攻击类型

  • 日志不规范
  • 监控告警不及时
  • 日志分析于人员技能缺失

防护措施

  • 规范化的日志设置，提供清晰易读的操作手册，以便于后期阅读和维护
  • 优化监控策略和报警流程，建立完善的规则库，以便于触发相关告警，及时通知相关人员处理
  • 加强人才培训和引进专业人才，安全意识培训，聘请专业经验丰富的加入团队，提高水平

相关文章：

网络安全练气篇——OWASP TOP 10

1、什么是OWASP？ OWASP（开放式Web应用程序安全项目）是一个开放的社区，由非营利组织 OWASP基金会支持的项目。对所有致力于改进应用程序安全的人士开放，旨在提高对应用程序安全性的认识。 其最具权威的就是“10项最严重…...

编程日记 2024/6/20 5:48:29

python实现进度条的方法和实现代码

在Python中，有多种方式可以实现进度条。这里，我将介绍七种常见的方法：使用tqdm（这是一个外部库，非常流行且易于使用）、rich、click、progressbar2等库以及纯Python的print函数与time库来模拟进度条。 目录…...

编程日记 2024/6/20 5:45:26

被拷打已老实！面试官问我 #{} 和 ${} 的区别是什么？

引言：在使用 MyBatis 进行数据库操作时，#{} 和 ${} 的区别是面试中常见的问题，对理解如何在 MyBatis 中安全有效地处理 SQL 语句至关重要。正确使用这两种占位符不仅影响应用的安全性，还涉及到性能优化。 题目 被拷打已老实&…...

编程日记 2024/6/20 5:44:24

C# —— while循环语句

作用 让顺序执行的代码 可以停下来 循环执行某一代码块 // 条件分支语句: 让代码产生分支 进行执行 // 循环语句 : 让代码可以重复执行 语法 while循环 while (bool值) { 循环体(条件满足时执行的代码块) …...

编程日记 2024/6/20 5:42:21

力扣第205题“同构字符串”

在本篇文章中，我们将详细解读力扣第205题“同构字符串”。通过学习本篇文章，读者将掌握如何使用哈希表来解决这一问题，并了解相关的复杂度分析和模拟面试问答。每种方法都将配以详细的解释，以便于理解。 问题描述 力扣第205题“…...

编程日记 2024/6/20 5:41:20

探索RESTful API开发，构建可扩展的Web服务

介绍 当我们浏览网页、使用手机应用或与各种互联网服务交互时，我们经常听到一个术语：“RESTful API”。它听起来很高深，但实际上，它是构建现代网络应用程序所不可或缺的基础。 什么是RESTful API？ 让我们将RESTful …...

编程日记 2024/6/20 5:40:18

苹果安卓网页的H5封装成App的应用和原生开发的应用有什么不一样？

H5封装类成App的应用和原生应用有什么不一样？——一对比谈优缺点 1. 开发速度和复用性 H5封装的App优势：一次编写，多平台运行。你只需要使用一种语言编写代码，就可以发布到不同的平台，降低开发成本。 原生应用优势&…...

编程日记 2024/6/20 5:38:16

IO流2.

字符流-->字符流的底层其实就是字节流 public class Stream {public static void main(String[] args) throws IOException {//1.创建对象并关联本地文件FileReader frnew FileReader("abc\\a.txt");//2.读取资源read()int ch;while((chfr.read())!-1){System.out…...

编程日记 2024/6/20 5:37:15

详解MySQL中的PERCENT_RANK函数

目录 1. 引入1. 基本使用2：分组使用3：处理重复值4. 使用优势4.1 手动计算百分等级4.2 使用 PERCENT_RANK 的优势4.3 使用 PERCENT_RANK 5. 总结 在 MySQL 中，PERCENT_RANK 函数用于计算一个值在其分组中的百分等级。 它的返回值范围是从 0 …...

编程日记 2024/6/20 5:36:13

宏任务与微任务

一、宏任务 1、概念 指消息队列中等地被主线程执行的事件 2、种类 script主代码块、setTimeout 、setInterval 、nodejs的setImmediate 、MessageChannel（react的fiber用到）、postMessage、网络I/O、文件I/O、用户交互的回调等事件、UI渲染事件&#x…...

编程日记 2024/6/20 5:33:09

昇思大模型学习·第一天

mindspore快速入门回顾 导入mindspore包 处理数据集 下载mnist数据集进行数据集预处理 MnistDataset()方法train_dataset.get_col_names() 打印列名信息使用create_tuple_iterator 或create_dict_iterator对数据集进行迭代访问 网络构建 mindspore.nn: 构建所有网络的基类用…...

编程日记 2024/6/20 5:32:08

python调用chatgpt

简单写了一下关于文本生成接口的调用，其余更多的调用方法可在官网查看 import os from dotenv import load_dotenv, find_dotenv from openai import OpenAI import httpxdef gpt_config():# 为了安全起见，将key写到当前项目根目录下的.env文件中# find…...

编程日记 2024/6/20 5:31:07

YOLOV8 目标检测：训练自定义数据集

1、下载 yolov8项目：ultralytics/ultralytics：新增 - PyTorch 中的 YOLOv8 🚀 > ONNX > OpenVINO > CoreML > TFLite --- ultralytics/ultralytics: NEW - YOLOv8 🚀 in PyTorch > ONNX > OpenVINO > CoreM…...

编程日记 2024/6/20 5:30:05

动态更新自建的Redis连接池连接数量

/*** 定时更新Redis连接池信息，防止资源让费*/private static final ScheduledThreadPoolExecutor DYNAMICALLY_UPDATE_REDIS_POOL_THREAD new ScheduledThreadPoolExecutor(1, new ThreadFactory() {Overridepublic Thread newThread(Runnable r) {Thread thread …...

编程日记 2024/6/20 5:29:04

浅谈设计师的设计地位

在当今这个创意无限的时代，设计师的地位日益凸显。他们以独特的视角和精湛的技能，为我们的生活带来了无尽的色彩与灵感。然而，随着行业的不断发展，设计师如何在众多同行中脱颖而出，提升自己的设计地位呢？答…...

编程日记 2024/6/20 5:28:02

C/C++ string模拟实现

1.模拟准备 1.1因为是模拟string，防止与库发生冲突，所以需要命名空间namespace隔离一下，我们来看一下基本内容 namespace yx {class string{private://char _buff[16]; lunix下小于16字节就存buff里char* _str;size_t _size;size_t _capac…...

编程日记 2024/6/20 5:27:01

微信小程序学习（八）：behaviors代码复用

小程序的 behaviors 方法是一种代码复用的方式，可以将一些通用的逻辑和方法提取出来，然后在多个组件中复用，从而减少代码冗余，提高代码的可维护性。 如果需要 behavior 复用代码，需要使用 Behavior() 方法&#xff0c…...

编程日记 2024/6/20 5:26:00

【The design pattern of Attribute-Based Dynamic Routing Pattern (ADRP)】

In ASP.NET Core, routing is one of the core functionalities that maps HTTP requests to the corresponding controller actions. While “Route-Driven Design Pattern” is a coined name for a design pattern, we can construct a routing-centric design pattern base…...

编程日记 2024/6/20 5:24:59

2713. 矩阵中严格递增的单元格数

题目 给定一个 m x n 的整数矩阵 mat，我们需要找出从某个单元格出发可以访问的最大单元格数量。移动规则是可以从当前单元格移动到同一行或同一列的任何其他单元格，但目标单元格的值必须严格大于当前单元格的值。需要返回最大可访问的单元格数量。 示例…...

编程日记 2024/6/20 5:21:54

git创建子模块

有种情况我们经常会遇到：某个工作中的项目需要包含并使用另一个项目。 也许是第三方库，或者你独立开发的，用于多个父项目的库。 现在问题来了：你想要把它们当做两个独立的项目，同时又想在一个项目中使用另一个。 Git …...

编程日记 2024/6/20 5:20:53

把Deepin塞进U盘，即插即用！Deepin To Go来袭

前言 小伙伴之前在某篇文章下留言说：把Deepin塞进U盘的教程。 这不就来了吗？ 事实是可以的。这时候你要先做点小准备： 一个大小为8GB或以上的普通U盘 一个至少64GB或以上的高速U盘 一个Deepin系统镜像文件 普通U盘的大概介绍&#xff1…...

编程日记 2024/6/20 5:18:50

​​给【AI硬件】创业者的论文、开源项目和产品整理

一、AI 硬件精选论文 《DrEureka: Language Model Guided Sim-To-Real Transfer》 瑜伽球上遛「狗」这项研究由宾夕法尼亚大学、 NVIDIA 、得克萨斯大学奥斯汀分校的研究者联合打造，并且完全开源。他们提出了 DrEureka（域随机化 Eureka）&am…...

编程日记 2024/6/20 5:16:47

模拟面试题卷二

1. 什么是JavaEE框架，你能列举一些常用的JavaEE框架吗？ 答：JavaEE框架是一套用于开发企业级应用的技术规范和工具集合。常用的JavaEE框架有Spring、Hibernate、Struts、JSF等。 2. 请解释一下面向对象技术和设计原则是什么，你能…...

编程日记 2024/6/20 5:15:45

22种常用设计模式示例代码

文章目录 创建型模式结构型模式行为模式 仓库地址https://github.com/Xiamu-ssr/DesignPatternsPractice 参考教程 refactoringguru设计模式-目录 创建型模式 软件包复杂度流行度工厂方法factorymethod❄️⭐️⭐️⭐️抽象工厂abstractfactory❄️❄️⭐️⭐️⭐️生成器bui…...

编程日记 2024/6/20 5:13:42

Java面试题：对比ArrayList和LinkedList的内部实现，以及它们在不同场景下的适用性

ArrayList和LinkedList是Java中常用的两个List实现，它们在内部实现和适用场景上有很大差异。下面是详细的对比分析： 内部实现 ArrayList 数据结构：内部使用动态数组（即一个可变长的数组）实现。存储方式：…...

编程日记 2024/6/20 5:12:40

ping: www.baidu.com: 未知的名称或服务（IP号不匹配）

我用的是VMware上的Red Hat Enterprise Linux 9，出现了能联网但ping不通外网的情况。 问题描述：设置中显示正常连接，而且虚拟机右上角有联网的图标，但不能通外网。 按照网上教程修改了/etc/resolv.conf和/etc/sysconfig/network-…...

编程日记 2024/6/20 5:11:37

谷神前端组件增强：子列表

谷神Ag-Grid导出Excel // 谷神Ag-Grid导出Excel let allDiscolumns detailTable.getAllDisColumns() let columnColIds columns.map(column > column.colId) let columnKeys columnColIds.filter(item > ![select, "_OPT_FIELD_"].includes(item)) detailT…...

编程日记 2024/6/20 5:10:35

测试cudaStream队列的深度

测试cudaStream队列的深度 一.代码二.编译运行[得出队列深度为512] 以下代码片段用于测试cudaStream队列的深度 方法: 主线程一直发任务,启一个线程cudaEventQuery查询已完成的任务,二个计数器的值相减 一.代码 #include <iostream> #include <thread> #include …...

编程日记 2024/6/20 5:09:34

​海康威视 isecure center 综合安防管理平台任意文件上传漏洞

文章目录 前言声明一、漏洞描述二、影响版本三、漏洞复现四、修复方案 前言 海康威视是以视频为核心的智能物联网解决方案和大数据服务提供商,业务聚焦于综合安防、大数据服务和智慧业务。 海康威视其产品包括摄像机、多屏控制器、交通产品、传输产品、存储产品、门禁产品、消…...

编程日记 2024/6/20 5:08:33

shadertoy-安装和使用

一、安装vscode 安装vscode流程 二、安装插件 1.安装glsl编辑插件 2.安装shader toy插件 三、创建glsl文件 test.glsl文件 float Grid(float size, vec2 fragCoord) {vec2 r fragCoord / size;vec2 grid abs(fract(r - 0.5) - 0.5) / fwidth(r);float line min(grid…...

编程日记 2024/6/20 5:07:31

合肥网站建设推广/百度快速排名技术培训

http://poj.org/problem?id1984 这是一道经典的带权并查集&#xff0c;每插入一个点&#xff0c;维护两个权值的数组&#xff0c;代表关于根节点的x坐标和y坐标&#xff0c; 记录这两个权值数组就可以了。W是x减&#xff0c;E是x加&#xff0c;N是y减&#xff0c;S是y加。 合…...

编程日记 2024/10/25 10:05:37

松江做移动网站/衡阳百度推广

2019独角兽企业重金招聘Python工程师标准>>> 在Shell中输入hql"select * from b_table"; hive -e $hql; 提示执行失败&#xff0c;逐步排查发现hql变量中的“*”已经被替换成一串字符串&#xff0c;该字符串正是当前目录下的一系列文件名。由此可以联想到…...

编程日记 2024/10/25 9:20:14

php mysql怎么编写视频网站/网店推广方案

String类1、Java.lang包简介java.lang包是java内置的一个基础包&#xff0c;其中包含了一系列程序中经常要用到的类&#xff1b;在默认情况下&#xff0c;每个java程序都会自动导入该包&#xff0c;因此无需在程序中显式地声明。2、String类Java语言中&#xff0c;字符串是Stri…...

编程日记 2024/10/25 9:01:56

wordpress 停止/成人短期培训能学什么

使用WebView加载一个网页&#xff0c;很可能会出现横向的滚动条&#xff0c;让界面看起来很不方便&#xff0c;就像打开了一个为电脑设计的网页&#xff0c;尽管这个网页本身只有一个div。 我发现绝大多数情况下是因为图片大小超过屏幕所引起的&#xff0c;因为文字是会自动换行…...

编程日记 2024/10/25 8:49:52

厦门网站建设公司怎么选/百度网站大全旧版

欢迎关注”生信修炼手册”!UROPA是一个命令行工具&#xff0c;可以对基因组区域进行注释&#xff0c;这里的基因组区域要求是BED格式&#xff0c;比如chip&#xff0c;ATAC_seq等数据产生的peak区间。同时需要提供一个GTF格式的基因组注释信息&#xff0c;比如从UCSC,ensemble,…...

编程日记 2024/10/25 7:35:26

wordpress 阿里云主机/企业关键词排名优化网址

i春秋 WEB Login 一天一道CTF题目&#xff0c;能多不能少 打开网页&#xff0c;发现登录&#xff0c;查看源代码&#xff0c;发现疑似账号密码的东西~&#xff1a; 登录&#xff0c;发现什么都没有&#xff0c;源码也没有什么~&#xff1a; 既然如此就抓包吧&#xff0c;bp…...

编程日记 2024/10/25 6:25:35