OWASP Top10是Web安全最经典的漏洞清单，也是渗透测试入门、面试高频考点，零基础学网安一定要吃透。本文为大家详细介绍一下OWASP Top10漏洞，建议收藏起来。
注入漏洞(Injection)
常见SQL注入、命令注入，攻击者向接口提交恶意语句，欺骗数据库、服务器执行非授权命令，造成数据泄露、服务器被控。
身份认证失效(Broken Authentication)
登录逻辑存在缺陷，比如弱口令、会话固定、会话超时过长，攻击者可盗用账号，绕过登录验证。
敏感数据暴露(Sensitive Data Exposure)
密码、手机号、身份证等数据明文存储或弱加密，传输无 HTTPS，一旦被抓包、拖库，隐私数据直接泄露。
XML外部实体(XXE)
解析XML时未过滤外部实体，攻击者可读取服务器本地文件、发起内网探测，造成信息泄露或内网穿透。
访问控制失效(Broken Access Control)
权限校验不完善，普通用户能直接访问管理员页面、修改他人数据，属于越权漏洞，分为水平越权、垂直越权。
安全配置错误(Security Misconfiguration)
服务器、框架默认密码没改、多余功能开启、报错信息泄露路径，配置不当是出现频率很高的一类漏洞。
跨站脚本XSS(Cross-Site Scripting)
页面未过滤用户输入，恶意JS被渲染执行，可盗取用户Cookie、劫持会话、钓鱼诱导。分存储型、反射型、DOM型。
不安全反序列化(Insecure Deserialization)
反序列化数据可控时，恶意载荷可触发代码执行，大多出现在 Java、Python 等语言项目，危害极高。
使用含有已知漏洞的组件(Vulnerable Components)
框架、插件、第三方库版本老旧，存在公开漏洞，开发人员没及时升级，容易被直接利用。
日志与监控不足(Insufficient Logging & Monitoring)
攻击行为没有记录、缺少告警，入侵发生后无法及时发现、溯源，很多攻击就是因为缺少监控长期潜伏。
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/69952968/viewspace-3186437/ ，如需转载，请注明出处，否则将追究法律责任。
