锁定：使用OWASP Top Ten保证Web应用程序的安全——第一部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第一部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第二部分

锁定：使用修订版OWASP Top Ten保证Web应用程序的安全——第三部分

在这个系列的第一部分，我列举了于2004年建立OWASP Web应用程序脆弱性10大排名。文章发表后不久，我收到OWASP执行总裁Andrew van der Stock的一封电子邮件，向我透露即将修正的排名列表。OWASP计划于2007年3月发布新的脆弱性10大排名。该排名的候选版本1（RC1）已于上周在OWASP的网站上公布。因此我现在对这个系列进行更新，以包含2007年的脆弱性。

2007 OWASP Top 10

2007年和2004年的排名有一些相似之处，如表A所示。未经确认的输入、缓冲区溢出、配置管理不安全和拒绝服务落选。另一方面，认证和会话管理不完善被分解为两个部分。

这个表中的新脆弱性包括（以RC1为依据）：

• A3.远程文件包含不安全：易于受到远程文件包含攻击的代码允许攻击者加入敌意代码和数据，形成极具破坏性的攻击，如整个服务器泄露。
• A5.跨站请求仿造（CSRF）：CSRF攻击迫使一个已登录的受害者的浏览器向一个易受攻击的Web应用程序发送一个提前认证的请求，然后强迫受害者的浏览器执行有利于攻击者的敌意行为。
• A9.通信不安全：有必要保护敏感信息时，应用程序经常无法加密网络流量。

表A

表A（OWASP，OWASP Top 10 2007 RC1）