owasp top 10

1. OWASP TOP 10
‫احمدی‬ ‫پوریا‬_‫صدرا‬ ‫دانشگاه‬

2. OWASP‫معرفی‬
‫انجمنی‬‫و‬ ‫افزارها‬ ‫نرم‬ ‫نگهداری‬ ‫و‬ ‫خریداری‬ ،‫توسعه‬ ‫اجازه‬ ‫ها‬ ‫سازمانها‬ ‫به‬ ‫که‬ ‫است‬
API‫میدهد‬ ‫امن‬ ‫صورت‬ ‫به‬ ‫را‬
‫در‬OWSAP‫دارد‬ ‫وجود‬ ‫رایگان‬ ‫و‬ ‫ازاد‬ ‫صورت‬ ‫به‬ ‫زیر‬ ‫موارد‬:
‫استانداردها‬ ‫و‬ ‫افزار‬ ‫نرم‬ ‫امنیت‬ ‫ابزارهای‬
‫امن‬ ‫کد‬ ‫بررسی‬ ‫و‬ ‫امن‬ ‫کد‬ ‫توسعه‬ ، ‫برنامه‬ ‫تست‬ ‫مورد‬ ‫در‬ ‫کامل‬ ‫کتابهای‬
‫ها‬ ‫کتابخانه‬ ‫و‬ ‫استاندارد‬ ‫امنیتی‬ ‫های‬ ‫کنترل‬
‫جهانی‬ ‫مقاالت‬
‫فناوری‬ ‫لبه‬ ‫تحقیقات‬
‫جهان‬ ‫سراسر‬ ‫در‬ ‫گسترده‬ ‫کنفرانسهای‬
‫پستی‬ ‫های‬ ‫ایمیل‬ ‫فهرست‬

3. Injection
‫مانند‬ ،‫تزریق‬ ‫ضعف‬OS ,NoS,SQL‫و‬‫تزریق‬LDAP‫داده‬ ‫که‬ ‫دهد‬ ‫می‬ ‫رخ‬ ‫زمانی‬
‫شوند‬ ‫ارسال‬ ‫مفسر‬ ‫یک‬ ‫به‬ ‫جو‬ ‫و‬ ‫پرس‬ ‫یا‬ ‫فرمان‬ ‫از‬ ‫بخشی‬ ‫عنوان‬ ‫به‬ ‫نامعتبر‬ ‫های‬.‫داده‬
‫ب‬ ‫دسترسی‬ ‫یا‬ ‫غیرمنتظره‬ ‫دستورات‬ ‫اجرای‬ ‫به‬ ‫را‬ ‫مفسر‬ ‫تواند‬ ‫می‬ ‫مهاجم‬ ‫مخرب‬ ‫های‬‫ه‬
‫کند‬ ‫منجر‬ ‫مناسب‬ ‫مجوز‬ ‫بدون‬ ‫ها‬ ‫داده‬.

5. Broken Authenticatio
(‫احراز‬‫نقض‬ ‫هویت‬‫شده‬)
‫اغل‬ ‫نشست‬ ‫مدیریت‬ ‫و‬ ‫هویت‬ ‫احراز‬ ‫به‬ ‫مربوط‬ ‫درخواست‬ ‫توابع‬‫ب‬
‫رمزهای‬ ‫میدهند‬ ‫اجازه‬ ‫مهاجمان‬ ‫به‬ ‫و‬ ،‫شوند‬ ‫می‬ ‫اجرا‬ ‫اشتباه‬ ‫به‬
‫ض‬ ‫از‬ ‫یا‬ ‫بیافتد‬ ‫خطر‬ ‫به‬ ‫نشست‬ ‫های‬ ‫نشانه‬ ‫یا‬ ‫ها‬ ‫کلید‬ ،‫عبور‬‫عف‬
‫دیگر‬ ‫های‬ ‫هویت‬ ‫از‬ ‫تا‬ ‫کنند‬ ‫استفاده‬ ‫سازی‬ ‫پیاده‬ ‫دیگر‬ ‫های‬
‫کنند‬ ‫برداری‬ ‫بهره‬ ‫دائمی‬ ‫یا‬ ‫موقت‬ ‫طور‬ ‫به‬ ‫کاربران‬.

6. Sensitive Data Exposure
(‫اطالعات‬ ‫افشای‬‫حساس‬)
‫بسیاری‬‫و‬ ‫وب‬ ‫کاربردی‬ ‫های‬ ‫برنامه‬ ‫از‬API‫از‬ ‫ها‬
‫اطالعات‬‫و‬ ‫سالمت‬ ،‫مالی‬ ‫مانند‬ ‫حساس‬PII‫درستی‬ ‫به‬
‫کنند‬ ‫نمی‬ ‫محافظت‬.‫به‬ ‫اطالعات‬ ‫این‬ ‫است‬ ‫ممکن‬ ‫مهاجمان‬
‫مقاص‬ ‫سایر‬ ‫برای‬ ‫یا‬ ‫سرقت‬ ،‫را‬ ‫نشده‬ ‫محافظت‬ ‫درستی‬‫د‬
‫دهند‬ ‫تغییر‬ ‫یا‬ ‫و‬ ،‫داده‬ ‫قرار‬ ‫استفاده‬ ‫مورد‬.‫حساس‬ ‫های‬ ‫داده‬
‫در‬ ‫رمزگذاری‬ ‫مانند‬ ،‫اضافی‬ ‫حفاظت‬ ‫بدون‬ ‫است‬ ‫ممکن‬
‫بیافتد‬ ‫خطر‬ ‫به‬ ،‫حمل‬ ‫درحین‬ ‫یا‬ ‫استراحت‬ ‫حالت‬.

7. XML External Entities (XXE)
‫اپلودفایل‬xml‫توسط‬‫نفوذگر‬
‫پیکر‬ ‫ضعیف‬ ‫یا‬ ‫تر‬ ‫قدیمی‬ ‫های‬ ‫پردازنده‬ ‫از‬ ‫بسیاری‬‫بندی‬
‫شده‬XML‫اسناد‬ ‫در‬ ‫را‬ ‫بیرونی‬ ‫موجودیت‬ ‫ارجاعات‬
XML‫ارزیابی‬‫کنند‬ ‫می‬.‫تواند‬ ‫می‬ ‫بیرونی‬ ‫موجودیت‬‫به‬
‫فایل‬ ‫از‬ ‫استفاده‬ ‫با‬ ‫داخلی‬ ‫های‬ ‫فایل‬ ‫افشای‬URL،‫فایل‬
‫ک‬ ‫اجرای‬ ، ‫داخلی‬ ‫پورت‬ ‫اسکن‬ ،‫داخلی‬ ‫های‬ ‫فایل‬ ‫اشتراک‬‫د‬
‫شود‬ ‫منجر‬ ‫سرویس‬ ‫انکار‬ ‫حمات‬ ‫و‬ ‫دور‬ ‫راه‬ ‫از‬.

9. Broken Access Control
(‫کنترل‬ ‫نقض‬‫دسترسی‬)
‫هستن‬ ‫مجاز‬ ‫آن‬ ‫انجام‬ ‫به‬ ‫مجاز‬ ‫کاربران‬ ‫که‬ ‫هایی‬ ‫محدودیت‬‫د‬
‫شوند‬ ‫نمی‬ ‫اعمال‬ ‫درستی‬ ‫به‬ ‫اغلب‬.‫از‬ ‫میتوانند‬ ‫مهاجمان‬
‫مجا‬ ‫غیر‬ ‫های‬ ‫قابلیت‬ ‫به‬ ‫دسترسی‬ ‫برای‬ ‫ها‬ ‫ضعف‬ ‫این‬‫و‬ ‫ز‬
،‫کاربران‬ ‫دیگر‬ ‫های‬ ‫حساب‬ ‫به‬ ‫دسترسی‬ ‫مانند‬ ‫ها‬ ‫داده‬ ‫یا‬
‫کاربران‬ ‫های‬ ‫داده‬ ‫دادن‬ ‫تغییر‬ ،‫حساس‬ ‫های‬ ‫فایل‬ ‫مشاهده‬
‫کنن‬ ‫استفاده‬ ‫غیره‬ ‫و‬ ‫دسترسی‬ ‫حقوق‬ ‫تغییر‬ ،‫دیگر‬‫د‬.

10. Security Misconfiguration
(‫اشتباه‬ ‫تنظیمات‬‫امنیتی‬)
‫امنیت‬ ‫مسائل‬ ‫ترین‬ ‫رایج‬ ‫از‬ ‫یکی‬ ‫اشتباه‬ ‫امنیتی‬ ‫تنظیمات‬‫موجود‬ ‫ی‬
‫است‬.،‫ناامن‬ ‫فرض‬ ‫پیش‬ ‫تنظیمات‬ ‫از‬ ‫ای‬ ‫نتیجه‬ ‫معموال‬ ‫که‬
‫هدر‬ ،‫باز‬ ‫ابر‬ ‫سازی‬ ‫ذخیره‬ ،‫مجاز‬ ‫غیر‬ ‫و‬ ‫ناقص‬ ‫های‬ ‫پیکربندی‬
‫های‬HTTP‫اطالعات‬ ‫حاوی‬ ‫خطای‬ ‫های‬ ‫پیام‬ ‫و‬ ‫شده‬ ‫تنظیم‬ ‫غلط‬
‫است‬ ‫حساس‬.‫کتابخ‬ ،‫ها‬ ‫چارچوب‬ ،‫ها‬ ‫عامل‬ ‫سیستم‬ ‫تمام‬ ‫تنها‬ ‫نه‬‫انه‬
‫ش‬ ‫پیکربندی‬ ‫ایمن‬ ‫صورت‬ ‫به‬ ‫باید‬ ‫کاربردی‬ ‫های‬ ‫برنامه‬ ‫و‬ ‫ها‬،‫وند‬
‫کرد‬ ‫رسانی‬ ‫روز‬ ‫به‬ ‫و‬ ‫اعمال‬ ‫موقع‬ ‫به‬ ‫را‬ ‫آنها‬ ‫باید‬ ‫بلکه‬.

11. Cross-Site Scripting (XSS)
‫های‬ ‫نقص‬xss‫اطالعات‬ ‫شامل‬ ‫برنامه‬ ‫که‬ ‫دهد‬ ‫می‬ ‫رخ‬ ‫زمانی‬
‫اعتبارسنجی‬ ‫بدون‬ ‫جدید‬ ‫وب‬ ‫صفحه‬ ‫یک‬ ‫در‬ ‫اعتماد‬ ‫قابل‬ ‫غیر‬
‫شده‬ ‫ارائه‬ ‫های‬ ‫داده‬ ‫با‬ ‫را‬ ‫موجود‬ ‫وب‬ ‫صفحه‬ ‫یک‬ ‫یا‬ ‫باشد‬ ‫مناسب‬
‫یک‬ ‫از‬ ‫استفاده‬ ‫با‬ ‫کاربر‬ ‫توسط‬API‫تواند‬ ‫می‬ ‫که‬ ‫مرورگر‬
HTML‫کند‬ ‫می‬ ‫روز‬ ‫به‬ ،‫کند‬ ‫ایجاد‬ ‫جاوااسکریپت‬ ‫یا‬.XSS‫به‬
‫می‬ ‫را‬ ‫قربانی‬ ‫مرورگر‬ ‫در‬ ‫ها‬ ‫اسکریپت‬ ‫اجرای‬ ‫امکان‬ ‫مهاجمان‬
‫خراب‬ ‫را‬ ‫ها‬ ‫سایت‬ ‫وب‬ ،‫بگیرد‬ ‫را‬ ‫کاربر‬ ‫جلوی‬ ‫تواند‬ ‫می‬ ‫که‬ ‫دهد‬
‫کند‬ ‫هدایت‬ ‫مخرب‬ ‫های‬ ‫سایت‬ ‫به‬ ‫را‬ ‫کاربر‬ ‫یا‬ ‫کند‬.

13. Insecure Deserialization
‫در‬deserialization‫راه‬ ‫از‬ ‫کد‬ ‫اجرای‬ ‫به‬ ‫منجر‬ ‫امن‬ ‫نا‬
‫شود‬ ‫می‬ ‫دور‬.‫معایب‬ ‫اگر‬ ‫حتی‬deserialization‫باعث‬
‫انجا‬ ‫برای‬ ‫توان‬ ‫می‬ ‫آنها‬ ‫از‬ ،‫نباشند‬ ‫دور‬ ‫راه‬ ‫از‬ ‫کد‬ ‫اجرای‬‫م‬
‫تش‬ ‫حمالت‬ ‫و‬ ‫تزریق‬ ‫حمات‬ ‫جمله‬ ‫از‬ ،‫کرد‬ ‫استفاده‬ ‫حمات‬‫دید‬
‫امتیاز‬.

14. Using Components with Known
Vulnerabilities
(‫های‬ ‫پذیری‬ ‫آسیب‬ ‫با‬ ‫های‬ ‫مولفه‬ ‫از‬ ‫استفاده‬
‫شده‬ ‫شناخته‬)
‫های‬ ‫ماژول‬ ‫دیگر‬ ‫و‬ ‫ها‬ ‫چارچوب‬ ،‫ها‬ ‫کتابخانه‬ ‫مانند‬ ‫اجزاء‬
‫می‬ ‫برنامه‬ ‫با‬ ‫مشابه‬ ‫هایی‬ ‫دسترسی‬ ‫دارای‬ ،‫افزاری‬ ‫نرم‬
‫باشند‬.‫ق‬ ‫استفاده‬ ‫سوء‬ ‫مورد‬ ‫پذیر‬ ‫آسیب‬ ‫جزء‬ ‫یک‬ ‫اگر‬‫رار‬
‫جد‬ ‫اطالعات‬ ‫رفتن‬ ‫دست‬ ‫از‬ ‫باعث‬ ‫تواند‬ ‫می‬ ‫حمله‬ ،‫گیرد‬‫ی‬
‫باشد‬.

15. Insufficient Logging &
Monitoring
(‫ناکافی‬ ‫رویداد‬ ‫ثبت‬ ‫و‬ ‫نظارت‬)
‫صحی‬ ‫واکنش‬ ‫عدم‬ ‫با‬ ‫همراه‬ ،‫ناقص‬ ‫وقایع‬ ‫ثبت‬ ‫و‬ ‫نظارت‬‫ح‬
‫سیستمهای‬ ‫به‬ ‫تا‬ ‫دهد‬ ‫می‬ ‫اجازه‬ ‫مهاجمان‬ ‫به‬ ،‫حادثه‬ ‫به‬
‫نابو‬ ‫یا‬ ‫و‬ ‫استخراج‬ ‫به‬ ‫اقدام‬ ‫یا‬ ،‫کنند‬ ‫حمله‬ ‫بیشتری‬‫دی‬
‫کنند‬ ‫اطالعات‬.‫برا‬ ‫زمان‬ ‫دهد‬ ‫می‬ ‫نشان‬ ‫مطالعات‬ ‫بیشتر‬‫ی‬
‫از‬ ‫بیش‬ ‫آسیب‬ ‫تشخیص‬200‫توسط‬ ‫معموال‬ ‫که‬ ،‫است‬ ‫روز‬
‫کشف‬ ‫داخلی‬ ‫نظارت‬ ‫طریق‬ ‫از‬ ‫نه‬ ،‫بیرونی‬ ‫های‬ ‫شرکت‬
‫میشوند‬.