OWASP Top 10 实战示例详解
作为一名 Web 开发者，您可能听说过 OWASP Top 10——最严重的 Web 应用程序安全风险列表。但您知道这些风险在实际代码中是如何体现的吗？在本文中，我们将通过实际示例和具体的防御措施，逐一讲解 OWASP Top 10（2021 版）的每一项。读完后，您将能够在自己的项目中识别并修复这些漏洞。
1. 失效的访问控制
当用户能够执行超出其预期权限的操作时，就会发生失效的访问控制。例如，用户可能通过更改 URL 参数来访问其他用户的数据。
示例：一个 Web 应用通过 /api/users/123 获取用户数据。如果没有检查登录用户是否为 123，攻击者只需更改 ID 即可访问他人的数据。
防御：对每个请求实施适当的授权检查。使用基于角色的访问控制（RBAC），并在服务端验证权限。
2. 加密机制失效
此类别（以前称为“敏感数据泄露”）涵盖与加密相关的失效问题，例如以明文传输数据或使用弱算法。
示例：使用 MD5 或 SHA-1 存储密码且未加盐。攻击者可以轻易破解这些哈希值。
防御：使用强自适应哈希算法，如 bcrypt、scrypt 或 Argon2。始终强制使用 HTTPS。
3. 注入
注入漏洞，如 SQL、NoSQL、OS 和 LDAP 注入，发生在不可信数据作为命令或查询的一部分被发送到解释器时。
示例：一个登录表单将用户输入拼接到 SQL 查询中：
SELECT * FROM users WHERE username = '" + username + "' AND password = '" + password + "'攻击者可以输入 ' OR '1'='1 来绕过身份验证。
防御：使用参数化查询或预编译语句。切勿将用户输入拼接到查询中。
4. 不安全的设计
不安全的设计指的是应用程序架构和设计中的缺陷，而不仅仅是实现上的错误。
示例：密码重置功能使用答案容易被猜到的安全问题，或缺少速率限制。
防御：在设计阶段进行威胁建模，使用安全的设计模式，并实施速率限制和账户锁定。
5. 安全配置错误
这包括默认账户、未使用的页面、未修补的漏洞、未受保护的文件和目录等。
示例：在 Nginx 服务器上启用目录列表，暴露敏感文件。
防御：强化配置：禁用目录列表、删除默认账户、保持软件更新，并使用安全响应头。
6. 易受攻击和过时的组件
使用存在已知漏洞的组件可能会危及整个应用程序。
示例：使用旧版本的 JavaScript 库（如 lodash），该版本存在已知的原型污染漏洞。
防御：定期扫描依赖项（例如使用 npm audit、OWASP Dependency-Check）并更新它们。
7. 身份识别和身份验证失败
这些失败允许攻击者破解密码、密钥或会话令牌，或利用其他实现缺陷来冒充其他用户。
示例：允许使用“123456”等弱密码，或未实施多因素身份验证（MFA）。
防御：强制执行强密码策略，实施 MFA，并使用安全的会话管理。
8. 软件和数据完整性失效
此类别关注在未验证完整性的情况下对软件更新、关键数据和 CI/CD 管道做出假设。
示例：从未经信任的来源下载并执行二进制文件，且未检查签名。
防御：使用数字签名、验证校验和，并保护您的 CI/CD 管道。
9. 安全日志和监控失效
日志和监控不足会使攻击者得以持久化、横向移动并维持访问权限。
示例：不记录失败的登录尝试，导致暴力破解攻击无法被检测到。
防御：记录与安全相关的事件，为可疑活动设置警报，并定期审查日志。
10. 服务端请求伪造（SSRF）
当 Web 应用程序在未验证用户提供的 URL 的情况下获取远程资源时，就会出现 SSRF 漏洞。
示例：一个 webhook 功能获取用户提供的 URL。攻击者可以使服务器请求内部资源，例如 AWS 上的 http://169.254.169.254/latest/meta-data/。
防御：验证和清理 URL，使用允许列表，并限制出站流量。
缓解 OWASP Top 10 的实用步骤
- 实施访问控制：在服务端对每个请求强制执行授权检查。
- 使用安全的加密：使用 bcrypt/Argon2 哈希密码，强制使用 HTTPS。
- 防止注入：使用参数化查询并转义输出。
- 安全设计：威胁建模、使用安全模式并实施速率限制。
- 强化配置：禁用未使用的功能、保持软件更新、设置安全响应头。
- 管理依赖项：定期扫描并更新组件。
- 加强身份验证：强制执行强密码，实施 MFA。
- 验证完整性：使用签名和安全的 CI/CD。
- 日志和监控：记录安全事件，设置警报。
- 防止 SSRF：验证 URL、使用允许列表、限制出站流量。
常见问题
什么是 OWASP Top 10？
OWASP Top 10 是由开放式 Web 应用程序安全项目（OWASP）发布的、定期更新的最严重 Web 应用程序安全风险列表。它作为开发者保护应用程序安全的基线。
OWASP Top 10 多久更新一次？
大约每三到四年更新一次。最新版本是 2021 年的，上一个版本是 2017 年的。
我可以仅依赖 OWASP Top 10 来保障安全吗？
不可以，它只是一个起点。您还应该考虑其他资源，如 OWASP 应用程序安全验证标准（ASVS），并进行定期的安全测试。
想要快速分析您的 Nginx 日志以发现可疑活动？试试我们的 Nginx 日志分析器，识别潜在攻击并监控您的 Web 服务器安全。