OWASP Top-10 қарапайым тілмен: веб-қосымшалардың 10 негізгі тәуекелі
KEMEL.TECH · Жаңартылған:
OWASP Top-10 — халықаралық OWASP қауымдастығы жүргізетін веб-қосымшалардың ең жиі кездесетін және қауіпті он тәуекелінің тізімі. 2021 жылғы редакция: қолжетімділікті бақылаудың бұзылуы, криптографиядағы ақаулар, инъекциялар, қауіпсіз емес дизайн, конфигурация қателері, ескірген компоненттер, аутентификация қателері, деректер мен БҚ тұтастығының бұзылуы, журналдау және мониторинг кемшіліктері, SSRF. Веб-пентесттердің көбі осы тізім бойынша өткізіледі.
2021 редакциясының 10 тәуекелі
- A01 Қолжетімділікті бақылаудың бұзылуы: пайдаланушы біреудің деректерін көреді (мысалы, IDOR).
- A02 Криптографиядағы ақаулар: деректер сенімді қорғаусыз беріледі немесе сақталады.
- A03 Инъекциялар: SQL-инъекциялар, XSS және басқалар, пайдаланушы енгізген мәлімет код ретінде орындалады.
- A04 Қауіпсіз емес дизайн: жүйенің өз логикасындағы қателер.
- A05 Конфигурация қателері: ашық панельдер, әдепкі құпиясөздер, артық сервистер.
- A06 Осал және ескірген компоненттер: белгілі олқылықтары бар кітапханалар.
- A07 Сәйкестендіру және аутентификация қателері: әлсіз құпиясөздер, JWT және сессиялардағы қателер.
- A08 Деректер мен БҚ тұтастығының бұзылуы: тексерілмеген жаңартулар мен тәуелділіктер.
- A09 Журналдау және мониторинг кемшіліктері: шабуыл уақытында байқалмайды.
- A10 SSRF: серверді ішкі ресурстарға жүгінуге мәжбүрлейді.
Бұл пентестпен қалай байланысты
Пентест кезінде мамандар қосымшаны осы мәселелер сыныптары бойынша қолмен тексеріп, олжаларды растайды. Әрқайсысына CVSS деңгейі беріледі, ол түзетудің шұғылдығын және KEMEL.TECH-тегі бағаны анықтайды.
Жиі қойылатын сұрақтар
- OWASP Top-10-ды жапқан жеткілікті ме?
- Жоқ. Бұл базалық минимум. Бизнес-логика, API, мобильді қосымшалар және сыртқы периметр бөлек тексеріледі.
- Өз сайтымды қалай тексеруге болады?
- /scan бетіндегі сайтты экспресс-сканерлеуден бастауға болады, ал толыққанды тексеруді пентест жүргізеді.