摘要：
Command Injection(命令注入) Abstract 执行不可信赖资源中的命令，或在不可信赖的环境中执行命令，都会导致程序以攻击者的名义执行恶意命令。 Explanation Command Injection 漏洞主要表现为以下两种形式： － 攻击者能够篡改程序执行的命令： 攻击者直接 阅读全文
posted @ 2020-03-14 21:03
马洪彪
阅读(2349)
评论(2)
推荐(0)
摘要：
Unreleased Resource: Database 未释放资源：数据库 Abstract 程序可能无法成功释放某一项系统资源。 Explanation 程序可能无法成功释放某一项系统资源。 资源泄露至少有两种常见的原因： － 错误状况及其他异常情况。 － 未明确程序的哪一部份负责释放资源。 阅读全文
posted @ 2020-03-14 20:58
马洪彪
阅读(1844)
评论(0)
推荐(0)
摘要：
SQL Injection SQL注入 Abstract 通过不可信来源的输入构建动态 SQL 指令，攻击者就能够修改指令的含义或者执行任意 SQL 命令。 Explanation SQL injection 错误在以下情况下发生： 1. 数据从一个不可信赖的数据源进入程序。 2. 数据用于动态地构 阅读全文
posted @ 2020-03-14 20:52
马洪彪
阅读(701)
评论(0)
推荐(0)
摘要：
Path Manipulation Abstract 通过用户输入控制 file system 操作所用的路径，借此攻击者可以访问或修改其他受保护的系统资源。 Explanation 当满足以下两个条件时，就会产生 path manipulation 错误： 1. 攻击者能够指定某一 file sy 阅读全文
posted @ 2020-03-14 20:45
马洪彪
阅读(1828)
评论(0)
推荐(0)
摘要：
Header Manipulation Abstract HTTP 响应头文件中包含未验证的数据会引发 cache poisoning、 cross site scripting、 cross user defacement、 page hijacking、 cookie manipulation 阅读全文
posted @ 2020-03-14 20:39
马洪彪
阅读(4882)
评论(0)
推荐(0)
摘要：
Dynamic Code Evaluation: Code Injection Abstract 在运行时中解析用户控制的指令，会让攻击者有机会执行恶意代码。 Explanation 许多现代编程语言都允许动态解析源代码指令。 这使得程序员可以执行基于用户输入的动态指令。 当程序员错误地认为由用户直 阅读全文
posted @ 2020-03-14 20:30
马洪彪
阅读(761)
评论(0)
推荐(0)
摘要：
Cross Site Scripting: Persistent Abstract 向 Web 浏览器发送非法数据会导致浏览器执行恶意代码。 Explanation Cross Site Scripting (XSS) 漏洞在以下情况下发生： 1. 数据通过一个不可信赖的数据源进入 Web 应用程序 阅读全文
posted @ 2020-03-14 20:07
马洪彪
阅读(1254)
评论(0)
推荐(0)
摘要：
Abstract 所创建的 cookie 的 secure 标记没有设置为 true。 Explanation 现今的 Web 浏览器支持每个 cookie 的 secure 标记。 如果设置了该标记，那么浏览器只会通过 HTTPS 发送 cookie。 通过未加密的通道发送 cookie 将使其受 阅读全文
posted @ 2020-03-14 18:05
马洪彪
阅读(970)
评论(0)
推荐(0)
摘要：
Abstract 如果没有适当的 access control，就会执行一个包含用户控制主键的 SQL 指令，从而允许攻击者访问未经授权的记录。 Explanation Database access control 错误在以下情况下发生： 1. 数据从一个不可信赖的数据源进入程序。 2. 这个数据 阅读全文
posted @ 2020-03-14 18:01
马洪彪
阅读(3312)
评论(0)
推荐(0)
浙公网安备 33010602011771号