XSS第二節，XSS左鄰右舍

昨天的文章中引用了owasp2023年的江湖排名，今天來看一下top中xss的左鄰右舍都是誰，先看一下他們的大名，再進一步介紹

【以下主要翻譯自

a1-injection 注入

a2-brokenauthentication and session management 失效的驗證和會話管理

a3-cross-sitescripting (xss) 跨站指令碼

a4-insecuredirect object references 不安全的直接物件訪問

a5-securitymisconfiguration 不正確的安全配置

a6-sensitivedata exposure 敏感資料暴露

a7-missingfunction level access control功能級別訪問控制缺失

a8-cross-siterequest forgery (csrf) 跨站請求偽造

a9-usingcomponents with known vulnerabilities 使用帶有已知漏洞的元件

a10-unvalidatedredirects and forwards 未驗證的重定向和跳轉

下面介紹各個部分主要涉及的內容

a1-injection 注入

注入類的漏洞產生的原因是由於執行了未經授權的客戶本不可信的資料或者命令，此類漏洞主要包含sql注入, 作業系統命令注入,ldap注入等。

a2-brokenauthentication and session management 失效的驗證和會話管理

此類漏洞產生的原因主要是由於沒有正確處理使用者的個性化資訊，邏輯中存在缺陷，從而導致第三方使用者可以通過某些獲取的資訊來偽裝成為合法使用者。

a3-cross-sitescripting (xss) 跨站指令碼

此類問題產生的根本原因是由於沒有過濾和轉義使用者的輸入資訊，而直接顯示在頁面上。

a4-insecuredirect object references 不安全的直接物件訪問

此類問題主要是由於訪問的資源沒有對應的許可權控制，比如http://xx/sid=001，如果後台沒有許可權控制，攻擊者可以嘗試sid=002,sid=003….

a5-securitymisconfiguration 不正確的安全配置

安全的配置包含定義在應用、應用伺服器、web伺服器、資料庫伺服器、防火牆等一系列軟體硬體上規則，只有開放最小的許可權給外部，並及時更新軟體，才能減少由於不安全的配置導致的攻擊行為。

a6-sensitivedata exposure 敏感資料暴露

對於敏感資料不同的人有不同的定義，但對於像姓名、身份證號、手機號、詳細住址、密碼之類的內容應該都屬於敏感資料，隨著大家安全意識地增長，還會有更多的內容被定義為敏感資料，**需要做到的就是保護好使用者交給你的一切資料，切不可再出現明文存放密碼的情況。

a7-missingfunction level access control功能級別訪問控制缺失

此類漏洞的原因是前端做了許可權的校驗，後台卻沒有做同樣的校驗，比如當使用者沒有刪除許可權時ui設定刪除按鈕為不可用狀態，但後台卻沒有對刪除做許可權的控制，一旦使用者直接發出了刪除按鈕對應的請求，後台將執行刪除動作。

a8-cross-siterequest forgery (csrf) 跨站請求偽造

在使用者不知情的情況下，利用合法使用者的身份，在合法使用者的終端呼叫請求，此漏洞配合xss使用威力很大！

a9-usingcomponents with known vulnerabilities 使用帶有已知漏洞的元件

此漏洞是由於使用的各種元件如lib、框架或者某個模組存在漏洞，而漏洞已經被大家熟知，如struts2的遠端執行命令漏洞。

a10-unvalidatedredirects and forwards 未驗證的重定向和跳轉

此類漏洞由於重定向或者跳轉的沒有做資料的合法性檢查導致，常見的情況為http://xx/login.jsp?backurl=main.jsp,如果後台驗證登入後直接**請求或者重定向到backurl則當使用者的請求被第三方修改過後，使用者登入後的認證資訊就有可能被第三方截獲並使用。