OWASP Top 10 详解与实例

你已经构建了一个 Web 应用，现在担心安全问题。OWASP Top 10 是 Web 应用安全风险的权威清单。但阅读清单是一回事，理解这些风险如何在实际代码中体现是另一回事。本文通过实际示例和具体缓解步骤，逐一介绍 OWASP Top 10 的每个类别。

1. 失效的访问控制

当用户能够执行超出其预期权限的操作时，就会发生失效的访问控制。例如，用户可能通过更改 URL 参数来访问另一个用户的账户。

// 易受攻击：未检查请求的用户 ID 是否属于已认证用户
app.get('/api/user/:id', (req, res) => {
  const user = getUserById(req.params.id);
  res.json(user);
});

缓解措施： 在服务器端实施访问控制检查。使用基于角色或基于属性的访问控制，并默认拒绝。

2. 加密机制失效

密码和信用卡号等敏感数据在传输和存储时必须加密。使用弱算法或硬编码密钥是常见的陷阱。

# 易受攻击：使用 MD5 进行密码哈希
import hashlib
hash = hashlib.md5(password.encode()).hexdigest()

缓解措施： 使用强加盐哈希算法，如 bcrypt 或 Argon2。对于传输中的数据，始终使用 HTTPS (TLS)。

3. 注入

注入漏洞（如 SQL 注入）发生在不可信数据作为命令或查询的一部分发送给解释器时。

// 易受攻击：在 SQL 查询中使用字符串拼接
$sql = "SELECT * FROM users WHERE username = '" . $_GET['username'] . "'";

缓解措施： 使用参数化查询或预编译语句。切勿将用户输入直接拼接到查询中。

4. 不安全的设计

不安全的设计指的是缺少或无效的控制设计。例如，密码恢复系统如果泄露电子邮件是否存在，可能帮助攻击者。

缓解措施： 在设计阶段进行威胁建模，使用安全的设计模式，并实施速率限制和其他控制措施。

5. 安全配置错误

这包括保持默认账户启用、向用户显示堆栈跟踪或错误配置云存储权限。

# 易受攻击：在生产环境中启用调试模式
DEBUG = True

缓解措施： 加固配置，移除未使用的功能，并自动化配置检查。

6. 易受攻击和过时的组件

使用已知漏洞的库就像敞开着门。例如，流行库的过时版本可能存在远程代码执行漏洞。

缓解措施： 定期更新依赖项，使用 OWASP Dependency-Check 等工具，并监控 CVE。

7. 身份识别和认证失败

弱认证允许攻击者猜测密码或劫持会话。

// 易受攻击：失败尝试后没有账户锁定
if (passwordMatches) {
  loginUser();
} else {
  // 只显示错误，没有速率限制
}

缓解措施： 实施多因素认证，强制执行强密码策略，并使用安全的会话管理。

8. 软件和数据完整性故障

此类别包括使用不可信来源进行软件更新或反序列化不可信数据。

// 易受攻击：反序列化不可信数据
$data = unserialize($_POST['data']);

缓解措施： 验证数字签名，使用完整性检查，并避免反序列化不可信数据。

9. 安全日志记录和监控失败

如果没有适当的日志记录，违规行为将无法被发现。例如，未能记录失败的登录尝试。

缓解措施： 记录安全相关事件，设置警报，并制定事件响应计划。

10. 服务器端请求伪造 (SSRF)

SSRF 发生在攻击者可以使服务器向非预期位置发送请求时。

// 易受攻击：未经验证从用户输入获取 URL
fetch(req.query.url).then(...)

缓解措施： 验证和清理 URL，使用允许列表，并限制服务器权限。

对比表

常见问题

什么是 OWASP Top 10？

OWASP Top 10 是由开放 Web 应用安全项目 (OWASP) 发布的、定期更新的最关键 Web 应用安全风险清单。

OWASP Top 10 多久更新一次？

它定期更新以反映新出现的威胁和技术变化。上一次重大更新是在 2021 年。

OWASP Top 10 足以保证安全吗？

不，它只是一个起点。全面的安全计划包括安全编码实践、定期测试和持续监控。

为了进一步保护你的应用，可以考虑使用 Nginx 日志分析器 等工具来监控和检测服务器日志中的可疑活动。