Owasp Top10 漏洞解析 之注入

这篇具有很好参考价值的文章主要介绍了Owasp Top10 漏洞解析 之注入。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

一、注入漏洞是什么?


注入漏洞,即将不受信任的数据作为命令或查询的一部分发送到解析器时,会产生诸如SQL注入NoSQL注入、OS 注入和LDAP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命今或访问数据。

几乎任何数据源都能成为注入载体,包括环境变量、所有类型的用户、参数、外部和内部Web服务。当攻击者可以向解释器发送恶意数据时,注入漏洞产生。

注入漏洞十分普遍,尤其是在遗留代码中。注入漏洞通常能在SQL、LDAP、XPath或是NoSQL查询语句、OS命令、XML解析器、SMTP包头、表达式语句及ORM查询语句中找到。注入漏洞很容易通过代码审查发现。扫描器和模糊测试工具可以帮助攻击者找到这些漏洞。

注入能导致数据丢失、破坏或泄露给无授权方,缺乏可审计性或是拒绝服务。注入有时甚至能导致主机被完全接管。您的应用和数据需要受到保护,以避免对业务造成影响。

 

二、漏洞分类


1、SQL注入

按照注入点类型分类
数字型、字符型、搜索型、GET 注入、POST注入、Cookie 注入、HTTP 头部注入

按照执行效果来分类
基于布尔的盲注、基于时间的盲注、基于报错注入、联合查询注入、堆查询注入、宽字节注入

2、NoSQL注入:

OS 注入、LDAP注入、HTML注入、Xpath注入、shell注入表达式注入。

 

三、漏洞产生的原因(威胁来源)

  • 用户提供的数据没有经过应用程序的验证、过滤或净化。
  • 动态查询语句或非参数化的调用,在没有上下文感知转义的情况下被用于解释器。
  • 在ORM (对象关系映射,Object Relational Mapping,简称ORM)搜索参数中使用了恶意数据,这样搜索就获得包含敏感或未授权的数据。
  • 恶意数据被直接使用或连接,导致SQL语句或命令在动态查询或存储过程中同时包含结数据构和恶意数据。


四、漏洞产生的影响

  • 数据丢失、损坏或篡改
  • 拖库(信息泄露)
  • 夺权,执行OS命令或恶意代码


五、如何防御?

  • 代码审计,代码审计是最有效的检测应用程序的注入风险的办法之一;
  • 不要使用动态语句,或者参数化语句;不要使用拼接SQL语句;
  • 使用安全的APl;使用存储过程来执行所有的查询;
  • 使用“最小权限”限制数据库用户的权限,不要使用管理员权限进行数据库连接;
  • 使用“黑/白名单”或正则表达式,对用户输入的信息执行严格的输入检查;
  • 不要显示详细的错误信息(信息泄露) ;
  • 在查询中使用LIMIT和其他SQL控件,以防止在SQL注入时大量地泄露记录;
  • 将用户的登录名、密码等数据加密保存。

源代码审计 点此链接 可免费领取。另外,其中还包含第三方组件安全分析检测,对软件源代码安全漏洞和软件中的开源组件漏洞进行全面评估,全方位提升应用安全性。

免费检测链接:源代码+组件检测文章来源地址https://www.toymoban.com/news/detail-760726.html

到了这里,关于Owasp Top10 漏洞解析 之注入的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • 网络安全入门必知的OWASP top 10漏洞详解

    0、OWASP Top10是什么? 首先介绍下OWASP,开放式Web应用程序安全项目(OWASP,Open Web Application Security Project)是一个非营利组织,不附属于任何企业或财团,它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信

    2024年02月08日
    浏览(40)
  • WEB十大安全漏洞(OWASP Top 10)与渗透测试记录

            每年 OWASP(开放 Web 应用程序安全项目)都会发布十大安全漏洞。它代表了对 Web 应用程序最关键的安全风险的广泛共识。了解十大WEB漏洞种类并善于在渗透测试中发现漏洞是安全行业人员的基本要求。 1.失效的访问控制 2.加密机制失效 3.注入 4.不安全的设计 5.安

    2024年02月02日
    浏览(59)
  • OWASP TOP10 大主流漏洞原理和防范措施,易理解版

    章节目录 回顾2017年和2021年OWASP主流漏洞都有哪些 一、访问控制崩溃 表现形式 防范 二、敏感数据暴露 防范 三、注入 sql注入分类 SQL盲注 SQL注入产生点 SQL注入的思路 盲注测试的思路 防范SQL 四、不安全的设计 产生的原因 业务漏洞的显现体现 五、安全配置不当 风险点 防范

    2024年02月05日
    浏览(42)
  • OWASP Top 10

    OWASP (Open Web Application Security Project) Top 10 是指现在最常见的Web应用程序安全风险清单,该清单是OWASP组织的一份关于Web应用程序安全方面的指南。 OWASP Top 10 最新版本为 2017 年发布。其中包括的风险如下: 注入攻击 (Injection) 注入攻击是指攻击者通过恶意输入,将攻击代码插入

    2024年02月06日
    浏览(53)
  • OWASP TOP 10 之敏感数据泄露

     许多Web应用程序和APl都无法正确保护敏感数据,例如: 财务数据、医疗数据和PII数据。攻击者可以通过窃取或修改未加密的数据来实施信用卡诈骗、身份盗窃或其他犯罪行为。未加密的敏感数据容易受到破坏,因此我们需要对敏感数据加密,这些数据包括: 传输过程中的数据

    2024年02月03日
    浏览(72)
  • 2022-渗透测试-OWASP TOP10详细讲解

    2024年02月14日
    浏览(48)
  • 网安云知识 | OWASP TOP 10之安全配置错误

    这些漏洞使攻击者能经常访问一些未授权的系统数据或功能。有时,这些漏洞导致系统的完全攻破。业务影响取决于您的应用程序和数据的保护需求。 安全配置错误可能发生在应用程序堆栈的任何级别,包括网络服务、平台、Web服务器应用服务器、数据库、框架、自定义代码

    2024年03月09日
    浏览(43)
  • owasp top10之不安全的反序列化

    ​ 更多网络安全干货内容: 点此获取 ——————— Java 提供了一种对象序列化的机制,该机制中,一个对象可以被表示为一个字节序列,该字节序列包括该对象的数据、有关对象的类型的信息和存储在对象中数据的类型。 将序列化对象写入文件之后,可以从文件中读取

    2024年01月22日
    浏览(48)
  • 从OWASP API Security TOP 10谈API安全

    应用程序编程接口(API)是当今应用驱动世界创新的一个基本元素。从银行、零售、运输到物联网、 自动驾驶汽车、智慧城市,API 是现代移动、SaaS 和 web 应用程序的重要组成部分,可以在面向客 户、面向合作伙伴和内部的应用程序中找到。 从本质上讲,API 暴露了应用程序

    2024年04月25日
    浏览(48)
  • 自学网络安全(白帽黑客)必看!OWASP十大漏洞解析!

    在学习网络安全之前,需要总体了解安全趋势和常见的Web漏洞,在这里我首推了解OWASP,因为它代表着业内Web安全漏洞的趋势; 目录 一、OWASP简介 OWASP Top 10: 2013版至2017版改变了哪些内容 二、OWASP Top 10 A1:注入漏洞 A2:失效的身份认证 A3:敏感数据泄露 A4:XML 外部实体漏洞(XXE)

    2024年02月10日
    浏览(47)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包