锁定：使用OWASP Top Ten保证Web应用程序的安全——第一部分

2007年的脆弱性是通过提取MITRE 2006脆弱性趋势中的10大Web应用程序安全问题而选择出来的。图A描述了2007 OWASP Top 10的MITRE数据。

MITRE脆弱性趋势

落选的脆弱性

首先，未经确认的输入不再被列为10大脆弱性让人有些奇怪。简单回顾一下2004和2007年的脆弱性列表就可以发现，这种脆弱性是造成其它许多入选的弱点的主要原因。但是，删除这个脆弱性可能并不要紧，因为2007年列表中的许多项目把仔细关注输入确认列为一个重要的攻击防御方法。

溢出脆弱性（即缓冲区溢出、整数溢出和格式字符串问题）也被排除在外，因为它们主要在低级开发语言，如C或C++，中出现。大多数常用的Web开发环境几乎不会受到这些问题的影响。图B说明了溢出脆弱性在各种流行环境中的出现概率。

图B

溢出脆弱性出现概率（源自OWASP缓冲区溢出，2006）

仔细查看这个图表就会发现，很明显，今天Web应用程序开发最常用的语言和环境（如Java、.NET、Perl）都是安全的。但这并不表示使用.NET技术就完全不会受到影响。程序语言或开发环境本身存在的错误可能会引起一两个溢出问题。

组织在开发调用外部工具或使用C和C++这类不安全的低级语言编写的应用程序时，另一个常犯的错误就是过于依赖像.NET这样的环境的安全。Web应用程序环境中整合的工具和用不安全语言编写的应用程序的数量越多，其带来的风险就越大。

虽然拒绝服务（DoS）攻击脆弱性仍是一个问题，但它在MITRE排名中的位置并不高，因而没有进入10大排名列表。不过，这并不表示可以忽视DoS脆弱性。

最后，配置管理不安全也没有进入2007年的列表。这是唯一一个我认为应该保留但落选的脆弱性。维持一个运行Web应用程序的可靠、稳定的环境是Web应用程序安全的重要因素。除应用程序运行的服务器外，其它由基础架构提供的服务包括：

• 数据存储
• 目录服务
• 邮件
• 消息服务

有效的配置管理计划是信息资产保护的一个关键因素。攻击者只要抓住机会就会发动针对网络的攻击。换句话说，攻击者会寻找软目标，实施需要最小工作因素的危害。基础架构配置可能并不属于Web应用程序的实际组件，但它必须提供一个交付Web服务的强大环境。

结论

在后面的文章中，我将继续探讨2007 OWASP Top 10。我们将了解造成这些脆弱性的原因以及如果防御潜在的攻击。根据RC1，防御Top 10中的脆弱性将会降低以下可能性：

• 利用Top 10中脆弱性，特别是XSS、弱化或不存在的认证或授权检查的网络钓鱼攻击。
• 由于不可靠的确认、商业规则和授权检查不强而造成的隐私违反。
• 弱化或不存在的加密控制、远程文件包含、认证、商业规则和授权检查造成的身份盗窃。
• 通过远程文件包含和数据更改商业等级结束或经由注入的毁灭性攻击形成的系统泄露。
• 由未授权交易和CSRF攻击造成的财政损失。
• 声誉损失

在本系列的第二部分，我们将了解2007 Top 10的第一个脆弱性——跨站脚本（XSS）。

责任编辑：德东

查看本文国际来源