常見應用安全漏洞

1.注入

注入攻擊漏洞，例如sql、os、ldap注入。這些攻擊發生在當不可信的資料作為命令或查詢語句的一部分，被傳送給直譯器的時候，攻擊者傳送的惡意資料可以欺騙直譯器，以執行計畫外的命令或未授權的查詢。

2.失效的身份認證和會話管理

與身份認證和會話管理相關的應用程式功能往往得不到正確的實現，這就導致了攻擊者破壞密碼、秘鑰、會話令牌或攻擊其他的漏洞去冒充其他使用者的身份。

3.xss跨站指令碼

當應用程式收到含有不可信的資料，在沒有進行適當的驗證和轉義的情況下，就將它傳送給乙個網頁瀏覽器，這就會產生xss，xss允許攻擊者在瀏覽器上執行指令碼，從而劫持使用者會話、危害**、或者將使用者轉向惡意**。

4.不安全的直接物件引用

當開發人員暴露乙個內部實現物件的引用時，就會產生乙個不安全的直接物件引用，在沒有訪問控制檢測或其他保護時，攻擊者會操控這些相用去訪問未授權資料。

5.安全配置錯誤

好的安全需要對應用程式、框架、應用程式伺服器、web伺服器、資料庫伺服器和平台定義和執行安全配置。由於許設定的預設值並不是安全的，因此，必須定義、實施和維護這些設定。這包含了對所有的軟體保持及時更新，包括所有應用程式的庫檔案。

6.敏感資訊洩露

許多web應用程式沒有正確包含敏感資料，敏感資料需要額外的保護。

7.功能級訪問控制缺失

8.csrf跨站請求偽造。

9.使用包含已知漏洞的元件。

10.未驗證的重定向和**。