OWASP（Open Worldwide Application Security Project）是一家致力于应用安全威胁研究的非盈利机构。通过对超过20万个组织进行调研分析，该机构每三年左右就会发布一次《Web应用安全风险Top10》报告，这个报告已经成为全球企业开展Web应用安全防护时的重要参考。然而最近，卡巴斯基的一个安全研究小组却发现，OWASP 所给出的Web应用安全威胁排名，和其实际遵循黑盒、灰盒和白盒等应用程序风险评估方法实际测试后所得出的结论有着较大差异，组织应该根据威胁的潜在影响和可利用性，更灵活地评估自身Web应用安全威胁态势。

在本次测试中，卡巴斯基的安全研究团队在2021年至2023年上线的Web应用程序安全评估样本中收集数据，其中近一半的应用程序（44%）用Java编写，其次是用NodeJS（17%）和PHP（12%）编写，有三分之一以上（39%）的应用程序使用了微服务架构。测试人员遵循黑盒、灰盒和白盒方法对所获得的数据进行了评估分析，并以此总结了过去三年（2021-2023年）全球企业组织面临的最普遍、最严重的10大Web应用安全威胁（详见下表）。

1、访问控制中断

本次测试所分析的所有Web应用程序中，70%的项目被发现含有与访问控制问题相关的安全威胁。而几乎一半的访问控制中断安全威胁具有中等风险级别，37%的项目具有高级别风险。这些风险隐患可能导致Web应用程序出错，并影响组织的业务开展。对于Web应用程序而言，所提交的数据验证不足将使攻击者可以非法访问内部服务，并可能执行导致财务损失的攻击。

防护建议：

组织应该根据基于角色的访问模式实施身份验证和授权控制。除非某个Web应用程序是面向所有人公开访问，否则就应该在默认情况下拒绝访问。

2、数据泄露

这种类型的安全威胁在Web应用程序中大量存在。与访问控制中断相比，敏感数据泄露含有数量更多的低风险级漏洞隐患，但也存在高级别的风险漏洞。研究人员在分析过程中发现的敏感数据包括纯文本密码和凭据、Web应用程序发布完整路径以及其他可用于了解应用程序架构的涉密信息。

防护建议：

应该严格禁止在Web应用程序发布目录中存储含有敏感数据（如密码或备份）的文件。同时，在访问应用程序函数时需要加强敏感数据检测防护，除非该函数本身用于访问敏感数据。

3、服务器端请求伪造（SSRF）

云计算和微服务架构的应用已经非常普遍，与传统架构相比，会有更多的服务通过HTTP（或其他轻量级协议）进行通信，因此微服务架构扩大了SSRF滥用的攻击面。在本次测试所分析的应用程序中，一半以上（57%）的应用程序含有服务器端请求伪造安全威胁，这让恶意攻击者可以绕过应用程序逻辑与内部服务进行非法链接通信。恶意分子还可以结合使用SSRF与其他漏洞，策划攻击Web服务器的方法或读取应用程序源代码。

防护建议：

组织应该为应用程序可以请求的资源创建一份允许列表（白名单），并阻止请求该列表之外的任何资源，不接受含有完整URL的请求。此外，还设置防火墙过滤器，防止用户访问未授权的域。

4、SQL注入

在本次测试中，研究人员发现大多数高风险漏洞都与SQL注入有关。不过，由于测试中所分析的应用程序中只有不到一半（43%）的项目易受该类安全威胁的攻击，因此研究人员将该类别排在10大Web应用安全威胁的第四位。

这种类型的漏洞可能导致敏感信息被盗或远程代码执行。在一些测试项目中，研究人员对那些向公众用户开放注册的应用程序实施了SQL注入，最终成功获得了内部系统管理员的凭据。

防护建议：

组织应该在应用程序源代码中使用参数化的SQL查询，而不是将它们与SQL查询模板相结合。如果不能使用参数化的SQL查询，就应该优先确保用户输入并用于生成SQL查询的数据无法用于修改查询逻辑。

5、跨站脚本（XSS）

本次测试所分析的Web应用程序中61%存在跨站脚本安全威胁。在大多数情况下，这一威胁具有中等风险水平，因此研究人员将其排在第五位，尽管它很普遍。超过一半（55%）的XSS漏洞与第三方科技公司开发的应用程序有关，39%的XSS漏洞与公共部门使用的应用程序有关。

针对应用程序客户端的XSS攻击可用于获取用户身份验证信息，比如cookie、网络钓鱼或传播恶意软件。在一些攻击场景中，结合其他安全漏洞的XSS攻击允许将用户密码改为已知值，从而利用该用户的特权获得应用程序访问权。

防护建议：

组织可以将HTML页面中不安全的格式化字符替换为非格式化的等效字符，并提供处理用户输入的安全机制。针对从外部数据源获得，并在浏览器中显示的任何数据，都应该这么做。