小白客带你走进黑客世界11之WEB应用常见漏洞介绍（上）

从前从前，在web应用安全世界里，有一个权威性的名词叫做OWASP。

OWASP是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。同时这个组织也很神奇，它不依附于任何一个企业和财团。也正是这个原因。这个组织提供的和开发的所有文件和设施都不受商业的影响，同时这个组织也支持商业技术的合理使用。

这个组织的所有成果中，令人印象最深的就是OWASP Top 10的发布。OWASP Top 10一共发布过两个版本，一个是2010版本，另一个是2013版本。

OWASP Top 10指的是针对当前的WEB应用来说，造成的威胁性最大的十大漏洞。在这篇文章接下来的内容。小白就以2013版本的OWASP为例子，为各位看客一一道来，十大威胁性漏洞竟是何物。

Top 10 未验证的重定向和转发

重定向的意思很简单，其实就是当你访问网站A的时候，网页会从网站A跳转到网站B，这个跳转的过程就叫做重定向。

我们来举一个小例子

比如说有一个网址是：

http://www.xiaobaike.ren/index.html?url=study.html

我们点击这个网址之后，问号后面的参数就开始发挥作用了，它会自动跳转到url后面的页面，就是说会跳转到

http://www.xiaobaike.ren/study.html。

可能就会有人说了，这应该是很正常的呀，哪里会造成危害呢？其实不然，如果攻击者将url后面的study.html改成www.evil.com(一个恶意网站)呢？
如:

http://www.xiaobaike.ren/index.html?url=www.evil.com。

这个时候，如果有人点击了之后，就会被强迫地访问www.evil.com这个恶意的网站。如果这个恶意网站是一个模仿www.xiaobaike.ren钓鱼网站呢？有多少人会因此而上当受骗。

可能有些人又会说了，看，伪造后的url太明显了，稍微注意点的人都会知道这个地址不正常。确实，但是如果我给url加上一个url的编码变成下面这个样子，那么，又有多少人能过够发现呢？

http://www.xiaobaike.ren/index.html?%75%72%6c%3d%77%77%77%2e%65%76%69%6c%2e%63%6f%6d

小白这里举2个存在过该漏洞的案例：

1.人人网登陆页面URL重定向漏洞（WooYun-2011-01105）

2.冒险岛游戏商城URL重定向漏洞（WooYun-2013-21857）

Top 9 使用含有已知漏洞的组件

顾名思义，使用含有已知漏洞组件的意思是程序员在开发WEB应用的时候使用了一些含有漏洞的组件，比如含有漏洞的框架库。

实际上在我们看来这不应该是一个危险性很大的漏洞，只要开发团队及时更新组件/库。然而实际上这是一个很大的问题。因为大多数的开发团队并不会把及时更新组件作为他们工作的重心。在很多情况下，开发者完全不了解他们所使用的全部组件，更别说更新组件了。组件之间的依赖性使这变的更加糟糕。

组件漏洞的威胁性到了什么程度了呢？大多数组件在程序中一直是以最高管理员的权限运行的，所有一旦存在组件漏洞，是相当致命的。比如说Apache和Spring组件中曾存在认证绕过和远程代码执行漏洞。这两个组件在2011年的时候被下载了2200万次！

实际案例

1.某省移动动感地带官网存在struts2漏洞，导致服务器直接被控制(WooYun-2014-72631)

2.某政务智能搜索引擎第三方组件漏洞导致任意盘符目录浏览，导致敏感信息泄露(WooYun-2014-71256)

Top 8 跨站请求伪造(CSRF)

CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。

上面这段话是什么意思呢，举一个很简单的例子大家就明白啦。