OSWAP Top 10 er en liste over de mest kritiske “web application security”-problemer.

Injection / OS Command Injection

• Kunne være SQL eller Command Injection
• Hvor man kan kalde kommandoer med de rettigheder, som applicationen har. F.eks. whoami, ifconfig m.m.

Broken Authentication

• Opstår når der er svagheder i login- og sessionshåndteringermekanismer.
• Almindelige fejl er: Brute Force, svage koder, svage session cookies.

Sensitive Data Exposure

• Når en hjemmeside kommer med oplysninger omkring sensitiv data. Det kunne fx være navne, fødselsdag, finansielle dokumenter, adgangskode m.m.

• Her ved at kigge i Source koden fandt jeg et hint om en stig, som gav frugt. Jeg downloade webapp.db ned og fandt hurtigt frem til en md5 krypteret nøgle. Denne kunne let nedbrydes på en offentligt tilgængelig side.

XML External Entity

• Misbruger funktioner af XML Parsers/data.
• Kan tillade at en angriber kan interagere med backend eller externe systemer, som application kan tilgå.
• Et angreb kunne se således ud, hvor man får adgang til at læse en fil/RSA nøgle

Broken Access Control

• Det handler om, at man får adgang til f.eks. en admin side, som man ikke burde kunne.
• 2 scenarier

Security Misconfiguration

• Når noget som kunne være konfigureret, men ikke er.

• Opgave:

• På ovenstående side fik jeg adgang blot ved at søge på google efter “Pensive Notes exploit”, hvor jeg fandt et GitHub med standardkoder.
• Dette er selvfølgelig også udført på et testmiljø!

Cross-Site Scripting

• Handler om at kunne udføre kode på en brugers computer

• Dette virker oftest på steder, hvor man kan kommentere. Når jeg sætter denne kode ind, hvor der ikke er et ordenligt filter, så vil den udføres på alles computer, som besøger siden.

Insecure Deserialization

• Når en applikation behandler ukendt eller ikke-valideret data under deserialisering, som kan misbruges til at injicere ondsindet kode.
• Eksempel:

• Her kunne man f.eks. ændre userType fra user til admin. Hvis der ikke er validering, så får man admin adgang.

Components With Known Vulnerabilties

• Dette kunne være, at man bruger en version af et program, som har en kendt sårbarhed, blot fordi man ikke har opdateret.
• Eksempel:

Her kan man se, at ved at hente en exploit fra exploit-db, udføre den på en hjemmeside, så kunne vi få adgang til en shell.

Insufficent Logging and Monitoring

• Handler om at logge nok. Man burde logge ALT hvad en bruger udføre på en hjemmeside.
• Følgende informationer burde logges: