[閒聊] 2017.W50 - OWASP Top 10

看板NetSecurity (資安資訊安全)作者CMJ0121 (不要偷 Q)時間7年前 (2017/12/12 21:13)推噓2(2推 0噓 1→)

留言3則, 2人參與討論串1/1

2017.W50 - OWASP Top 10 > 八卦 x 資安 ## 前言 ## 居然有人寄信問我可以發表文章內容是否適合放到 NetSecurity 板上說真的連我這沒有技術的內容都敢連續發 50 篇大家不用顧慮太多不過建議如果是 *案例分析* 禮貌上需要把 IP、Domain Name、URL 這些容易判斷對方是誰的資料稍微上個馬賽克 ## 內容 ## OWASP [0] (Open Web Application Security Project) 是一個非營利組織專著在各種網頁應用程式的安全議題並開發各種工具、發表相關文章等持續替安全議題作出貢獻其中知名的則是每隔幾年會釋出的 OWASP Top 10[1] 其中會根據這段時間發生的安全事件提出十個需要關注的安全性議題在 2017 年版本中分別提出來以下議題： - Injection - Boken Authentication - Sensitive Data Exposure - XXE - Broken Access Control - Security Misconfiguration - XSS - Insecure Deserialization - Using Components with Known Vulnerabilities - Insufficient Logging & Monitoring 而其中的 A1 - Injection 依然是網頁應用程式的第一優先關注的議題 Injection 包含了 SQL Injection、NoSQL Injectino、Command Injection 等藉由未經處理的使用者輸入而執行意料以外的指令因為是透過應用程式的權限執行通常權限不會太低：至少跟應用程式一致透過 Injection 後也容易可以拿到低權限的 Shell 除了上述 Top 10 之外不代表沒有其他值得注意的安全性議題 Top 10 的目的在於點出這段時間熱門的安全性議題像是問題嚴重、開發者依然沒有意識而開發出有問題的服務或是重要框架、函式庫含有安全性問題導致大量相依的服務也出現一樣的漏洞在 OWASP 的演講中有提到 Top 10 本身性質不像是證照或 QA Check List 的性質而是開發者本身的 Newbie Guild 或基本教育訓練藉由培養開發者本身的安全意識在開發階段就可以避免出現常見的安全性漏洞 [0]: https://www.owasp.org/index.php/Main_Page [1]: https://www.owasp.org/images/7/72/OWASP_Top_10-2017_%28en%29.pdf.pdf -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 123.193.122.171 ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1513084424.A.D1D.html