常见十大Web应用安全漏洞-控件新闻-慧都网

常见十大Web应用安全漏洞

原创|行业资讯|编辑：龚雪|2014-06-20 09:59:46.000|阅读 3896 次

概述：Web应用程序中常见的安全漏洞，值得开发者在开发应用时注意。并应该着重解决！

# 界面/图表报表/文档/IDE等千款热门软控件火热销售中 >>

十大安全漏洞分别是：

1. 注入，包括SQL、操作系统和LDAP注入

注入缺陷，如sql、os和ldap注入出现在不受信任的数据作为命令的一部分或查询。攻击者的恶意数据可以解释器执行命令或访问未经授权数据。

2. 有问题的鉴别与会话管理

验证和会话管理相关的应用功能往往不能正确实施，使得攻击者能够妥协密码、密钥或会话令牌，或利用其他实现缺陷承担其他用户的身份。

3. 跨站脚本攻击（XSS）

xss使得攻击者能够在受害者的浏览器中执行脚本，可以劫持用户会话、污损网站，或者将用户重定向到恶意网站。

4. 不安全的直接对象引用

直接对象引用时发生于公开内部实现的对象引用，如文件、目录或数据库的关键引用，攻击者可以操纵这些引用来访问未经授权的数据。

5. 安全配置错误

良好的安全需要有一个安全的配置定义和部署应用、框架、应用服务器、web服务器、数据库服务器和平台。安全的重点是实现和维护，此外，软件应该保持最新。

6. 暴露敏感数据

许多web应用程序不能正确保护敏感数据，如信用卡、税务id和身份验证凭据。攻击者可能会窃取或修改这些弱受保护的数据进行信用卡诈骗、身份盗窃，或其他罪行。如加密敏感数据是关键的预防措施。

7. 函数级访问控制缺失

大多数web应用程序的功能级别的访问权限验证功能中可见的用户界面。然而，应用程序需要在服务器上执行相同的访问控制检查在每个函数。攻击者将能够伪造请求，以访问未经授权功能。

8. 跨站请求伪造（CSRF）

csrf攻击登录受害者的浏览器发送一个http请求，向易受攻击的web应用程序，获取包括受害者在内的会话cookie和任何其他自动包含身份验证信息。攻击者强制受害者的浏览器生成请求，导致应用程序认为是从受害者的合法要求。

9. 使用存在已知漏洞的组件

如数据库、框架，和其他软件模块，几乎都拥有完全权限的运行。如果利用易受攻击的组件，这种攻击可以导致数据丢失或服务器接管。并使可能的攻击范围和影响扩大。

10. 未验证的重定向

经常和转发用户重定向到其他网页的web应用程序和网站，并使用不受信任的数据来确定目标页面。攻击者可以重定向到网络钓鱼或恶意软件网站。

慧都提供网络安全技术资源，或许能助Web开发者一臂之力。

通信安全工具：

IP*Works! Internet Toolkit v9.0

IP*Works! EDI/AS2 v9.0

IP*Works! S/MIME v9.0 IP*Works! SSH IP*Works! SSL

代码混淆工具：

.NET Reactor v4.9 Dotfuscator DashO Pro v7.3

Zend Guard

标签：网络安全数据安全 Web开发

本站文章除注明转载外，均为本站原创或翻译。欢迎任何形式的转载，但请务必注明出处、不得修改原文相关链接，如果存在内容上的异议请邮件反馈至chenjj@evget.com

上一篇：程序员需要掌握的10大基础实用算法下一篇：慧都案例持续征集中！快来加入！

在线采购

中文文档库

试用/Demo下载

开发社群