网安入门必学：OWASP Top10漏洞

　　OWASP Top10是Web安全最经典的漏洞清单，也是渗透测试入门、面试高频考点，零基础学网安一定要吃透。本文为大家详细介绍一下OWASP Top10漏洞，建议收藏起来。

　　注入漏洞(Injection)

　　常见SQL注入、命令注入，攻击者向接口提交恶意语句，欺骗数据库、服务器执行非授权命令，造成数据泄露、服务器被控。

　　身份认证失效(Broken Authentication)

　　登录逻辑存在缺陷，比如弱口令、会话固定、会话超时过长，攻击者可盗用账号，绕过登录验证。

　　敏感数据暴露(Sensitive Data Exposure)

　　密码、手机号、身份证等数据明文存储或弱加密，传输无 HTTPS，一旦被抓包、拖库，隐私数据直接泄露。

　　XML外部实体(XXE)

　　解析XML时未过滤外部实体，攻击者可读取服务器本地文件、发起内网探测，造成信息泄露或内网穿透。

　　访问控制失效(Broken Access Control)

　　权限校验不完善，普通用户能直接访问管理员页面、修改他人数据，属于越权漏洞，分为水平越权、垂直越权。

　　安全配置错误(Security Misconfiguration)

　　服务器、框架默认密码没改、多余功能开启、报错信息泄露路径，配置不当是出现频率很高的一类漏洞。

　　跨站脚本XSS(Cross-Site Scripting)

　　页面未过滤用户输入，恶意JS被渲染执行，可盗取用户Cookie、劫持会话、钓鱼诱导。分存储型、反射型、DOM型。

　　不安全反序列化(Insecure Deserialization)

　　反序列化数据可控时，恶意载荷可触发代码执行，大多出现在 Java、Python 等语言项目，危害极高。

　　使用含有已知漏洞的组件(Vulnerable Components)

　　框架、插件、第三方库版本老旧，存在公开漏洞，开发人员没及时升级，容易被直接利用。

　　日志与监控不足(Insufficient Logging & Monitoring)

　　攻击行为没有记录、缺少告警，入侵发生后无法及时发现、溯源，很多攻击就是因为缺少监控长期潜伏。