Web应用常见的十大安全漏洞

　　现在许多公司都在用Web应用程序，其实Web应用程序中有一些常见的安全漏洞，学习啦小编在这里给大家介绍，希望开发者能在开发应用时注意。

　　1. 注入，包括SQL、操作系统和LDAP注入

　　注入缺陷，如sql、os和ldap注入出现在不受信任的数据作为命令的一部分或查询。攻击者的恶意数据可以解释器执行命令或访问未经授权数据。

　　2. 有问题的鉴别与会话管理

　　验证和会话管理相关的应用功能往往不能正确实施，使得攻击者能够妥协密码、密钥或会话令牌，或利用其他实现缺陷承担其他用户的身份。

　　3. 跨站脚本攻击(XSS)

　　xss使得攻击者能够在受害者的浏览器中执行脚本，可以劫持用户会话、污损网站，或者将用户重定向到恶意网站。

　　4. 不安全的直接对象引用

　　直接对象引用时发生于公开内部实现的对象引用，如文件、目录或数据库的关键引用，攻击者可以操纵这些引用来访问未经授权的数据。

　　5. 安全配置错误

　　良好的安全需要有一个安全的配置定义和部署应用、框架、应用服务器、web服务器、数据库服务器和平台。安全的重点是实现和维护，此外，软件应该保持最新。

　　6. 暴露敏感数据

　　许多web应用程序不能正确保护敏感数据，如信用卡、税务id和身份验证凭据。攻击者可能会窃取或修改这些弱受保护的数据进行信用卡诈骗、身份盗窃，或其他罪行。如加密敏感数据是关键的预防措施。

　　7. 函数级访问控制缺失

　　大多数web应用程序的功能级别的访问权限验证功能中可见的用户界面。然而，应用程序需要在服务器上执行相同的访问控制检查在每个函数。攻击者将能够伪造请求，以访问未经授权功能。

　　8. 跨站请求伪造(CSRF)

　　csrf攻击登录受害者的浏览器发送一个http请求，向易受攻击的web应用程序，获取包括受害者在内的会话cookie和任何其他自动包含身份验证信息。攻击者强制受害者的浏览器生成请求，导致应用程序认为是从受害者的合法要求。

　　9. 使用存在已知漏洞的组件

　　如数据库、框架，和其他软件模块，几乎都拥有完全权限的运行。如果利用易受攻击的组件，这种攻击可以导致数据丢失或服务器接管。并使可能的攻击范围和影响扩大。

　　10. 未验证的重定向

　　经常和转发用户重定向到其他网页的web应用程序和网站，并使用不受信任的数据来确定目标页面。攻击者可以重定向到网络钓鱼或恶意软件网站。