当前位置：首页 > news >正文

网安系列【4】之OWASP与OWASP Top 10：Web安全入门指南

news 2025/7/5 10:08:33

文章目录

零引言：为什么需要关注Web安全？
一什么是OWASP？
三了解OWASP Top 10
- 1. 注入（Injection）
- 2. 失效的身份认证（Broken Authentication）
- 3. 敏感数据泄露（Sensitive Data Exposure）
- 4. XML外部实体(XXE)（XML External Entities）
- 5. 失效的访问控制（Broken Access Control）
- 6. 安全配置错误（Security Misconfiguration）
- 7. 跨站脚本(XSS)（Cross-Site Scripting）
- 8. 不安全的反序列化（Insecure Deserialization）
- 9. 使用含有已知漏洞的组件（Using Components with Known Vulnerabilities）
- 10. 日志和监控不足（Insufficient Logging & Monitoring）
四应用OWASP Top 10
五 OWASP资源推荐
六结语：安全是持续的过程

零引言：为什么需要关注Web安全？

在开始学习OWASP之前，让我们先看几个真实案例：

*2017年Equifax数据泄露：由于未修复已知漏洞，1.43亿用户的敏感信息被泄露。
2020年Twitter名人账号大规模被盗：黑客通过社会工程攻击获取内部工具权限，接管了奥巴马、马斯克等名人账号实施比特币诈骗。

这些事件都涉及OWASP Top 10中列出的安全风险。了解OWASP及其Top 10清单，可以帮助开发者和企业避免类似的灾难性后果。

一什么是OWASP？

OWASP（Open Web Application Security Project，开放Web应用程序安全项目）是一个非营利性国际组织，致力于提高软件安全性。它成立于2001年，如今已成为Web安全领域的权威机构。

OWASP的核心特点

开放性：所有材料免费公开
社区驱动：由全球安全专家共同维护
实用性：提供可直接应用的指南和工具
中立性：不受任何商业公司控制

OWASP的主要贡献

OWASP Top 10：最关键的十大Web应用安全风险
安全指南：开发安全编码实践
工具项目：如ZAP（渗透测试工具）
测试指南：安全测试方法论

三了解OWASP Top 10

OWASP Top 10是OWASP最著名的项目，每3-4年更新一次，列出了当前最严重、最常见的Web应用安全风险。最新版本是OWASP Top 10 2021版（OWASP计划在 2025 年上半年宣布发布 OWASP Top 10：2025）。

1. 注入（Injection）

什么是注入攻击？ 当不可信的数据作为命令或查询的一部分发送到解释器时，会发生注入漏洞。攻击者的恶意数据欺骗解释器执行非预期命令。
典型案例：SQL注入

-- 正常登录查询
SELECT * FROM users WHERE username = 'admin' AND password = '123456'-- 被注入后的查询（攻击者输入：admin' --）
SELECT * FROM users WHERE username = 'admin' --' AND password = 'xxx'

注释符(–)使密码检查失效，攻击者无需密码即可登录。
防御措施： 使用参数化查询（Prepared Statements）、使用ORM框架、实施最小权限原则、输入验证。

2. 失效的身份认证（Broken Authentication）

常见问题： 弱密码策略、明文或弱哈希存储密码、会话ID暴露在URL中
真实案例： 2012年LinkedIn泄露案，因使用SHA-1(无盐值)存储密码，导致650万用户密码被破解。
防御措施： 使用强密码哈希算法(如bcrypt)、限制失败登录尝试、使用安全的会话管理

3. 敏感数据泄露（Sensitive Data Exposure）

常见问题： 传输或存储时未加密敏感数据、使用弱加密算法(如DES, RC4)、浏览器缓存敏感信息
典型案例： 2018年万豪国际数据泄露，因加密系统失效，导致5亿客人信息泄露。
防御措施： 使用TLS加密传输数据、使用强标准算法(AES-256等)、禁用不安全的协议(SSL, TLS 1.0/1.1)。

4. XML外部实体(XXE)（XML External Entities）

**什么是XXE？**当配置不当的XML处理器解析包含外部实体引用的XML文档时，可能导致敏感数据泄露、SSRF或DoS攻击。
攻击示例：

<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<foo>&xxe;</foo>

这可能导致服务器返回/etc/passwd文件内容。

**防御措施：**禁用XML外部实体处理、使用JSON等替代数据格式、使用白名单验证输入、及时更新XML处理器

5. 失效的访问控制（Broken Access Control）

常见问题：

水平越权：访问其他用户的资源
垂直越权：普通用户执行管理员操作
CORS配置错误

典型案例： 2019年Facebook漏洞，因访问控制失效，攻击者可通过关联电话号码查找用户。
防御措施： 默认拒绝所有访问、实施基于角色的访问控制(RBAC)、记录访问控制失败、禁用Web服务器目录列表。

6. 安全配置错误（Security Misconfiguration）

常见问题： 使用默认账户和密码、暴露不必要的服务/端口、错误的安全头设置、过时的软件版本
典型案例： 2017年Uber数据泄露，因AWS S3存储桶配置错误，导致5700万用户数据泄露。

防御措施： 最小化安装原则、定期扫描和审计、建立安全部署流程

7. 跨站脚本(XSS)（Cross-Site Scripting）

什么是XSS？ 当应用将不可信数据插入到网页中而未经验证或转义时，可能导致恶意脚本执行。
三种类型：

反射型XSS：恶意脚本来自当前HTTP请求
存储型XSS：恶意脚本存储在服务器上
DOM型XSS：通过修改DOM环境执行
攻击示例：

<script>alert(document.cookie)</script>

如果网站未过滤此输入，将弹出当前用户的cookie。

防御措施： 使用Content Security Policy(CSP)、输入验证

8. 不安全的反序列化（Insecure Deserialization）

什么是反序列化漏洞？ 当应用反序列化恶意构造的数据时，可能导致远程代码执行、权限提升或DoS攻击。
典型案例： 2017年Apache Struts2漏洞(CVE-2017-5638)被利用于Equifax攻击。
防御措施： 避免反序列化不可信数据、限制反序列化期间的资源访问、记录反序列化异常。