OWASP 2021 榜单大洗牌：全新作战计划与首要劲敌

在这个日益混乱的世界里，总有一些恒久不变的事实值得信赖：太阳照常升起，马里奥永远比索尼克更酷，而注入攻击也始终占据着开放式Web应用程序安全项目（OWASP）榜单的榜首，成为最常见且最危险、被攻击者频繁利用的漏洞。

诚然，太阳明天依然会升起，马里奥也依然比索尼克更胜一筹，但在2021年更新的OWASP榜单中，注入攻击已不再位居榜首。作为最古老的攻击形式之一，注入漏洞几乎与计算机网络同龄。这种广泛的漏洞类型导致了多种攻击，涵盖了从传统的SQL注入到针对对象图导航语言（OGNL）的利用。它甚至包括针对服务器的直接攻击，如操作系统命令注入技术。注入漏洞对攻击者而言极其灵活，加之其潜在的攻击点众多，使得该类别多年来一直稳居榜首。

然而，注入攻击的霸主地位已然终结。新王当立。

这是否意味着我们彻底解决了注入漏洞问题？当然不是。它并未从安全威胁头号敌人的位置跌落太远，仅降至OWASP榜单的第三位。低估注入攻击的持续威胁将是一个错误，但另一个漏洞类别能够超越它这一事实意义重大，因为它表明了新的OWASP榜首漏洞是何等普遍，也解释了为何开发者在未来必须对其保持高度关注。

然而，最引人注目的或许是2021年版OWASP Top 10进行了重大调整，引入了全新的类别：不安全的设计、软件和数据完整性故障，以及基于社区调查结果的条目：服务端请求伪造（SSRF）。这些变化表明，软件安全基准正日益关注架构层面的漏洞，而不仅仅局限于表面的代码缺陷。

失效的访问控制荣登榜首（并揭示了一种趋势）

失效的访问控制从OWASP十大漏洞榜单的第五位一跃升至目前的榜首。与注入攻击及“不安全的设计”等新条目一样，访问控制失效涵盖了广泛的编码缺陷，这增加了其“臭名昭著”的程度，因为它们共同导致了多方面的安全隐患。该类别包括任何违反访问控制策略，导致用户能够越权操作的情况。

OWASP在将此类漏洞提升至榜首时列举了一些示例，包括允许攻击者修改URL、应用程序内部状态或HTML页面部分内容的漏洞。它们还可能允许用户更改其主访问密钥，从而使应用程序、网站或API误将其识别为拥有更高权限的管理员。它甚至包括攻击者可以修改元数据的漏洞，让他们能够篡改JSON Web令牌、Cookie或访问控制令牌等信息。

一旦被利用，此类漏洞可被攻击者用于绕过文件或对象授权，窃取数据，甚至执行删除数据库等破坏性的管理员级操作。这使得失效的访问控制不仅日益普遍，而且极具危险性。

身份验证和访问控制漏洞正成为攻击者最肥沃的土壤，这一点令人信服，却也不足为奇。Verizon最新的数据泄露调查报告显示，访问控制问题在几乎所有行业（尤其是IT和医疗保健行业）都普遍存在，且高达85%的泄露事件涉及人为因素。虽然“人为因素”涵盖了网络钓鱼等非工程类问题，但仍有3%的泄露涉及可利用的漏洞，且据报告显示，这些漏洞大多是陈旧的漏洞或由人为错误（如安全配置错误）导致。

尽管XSS和SQL注入等陈旧的安全漏洞仍在困扰着开发者，但核心安全设计的失效已日益明显。这为架构漏洞提供了可乘之机，一旦应用程序特定版本的安全缺陷被公开，而开发者未能及时修复，攻击者便能从中获益。

问题在于，很少有工程师能获得超越基础知识的培训和技能提升，更少有人能真正将知识和实践应用扩展到开发者最初引入的局部代码级漏洞之外。

预防机器人难以发现的漏洞

新归类的失效访问控制漏洞种类繁多。您可以在我们的YouTube频道和博客上找到一些具体的访问控制失效示例及其防御方法。

然而，我认为庆祝这份新的OWASP Top 10非常重要；它确实更加多元化，涵盖了更广泛的攻击向量，包括那些扫描器未必能检测到的攻击。对于每一个被发现的代码级弱点，都有更多复杂的架构缺陷被大多数安全技术栈所忽视，无论其防御库中拥有多少自动化盾牌和武器。虽然OWASP Top 10榜单的大部分内容仍基于扫描数据编制，但涵盖不安全设计和数据完整性故障等新条目表明，开发者的培训视野必须迅速扩展，以实现机器人无法完成的任务。

简而言之，安全扫描器无法成为出色的威胁建模者，但一支具备安全技能的开发团队可以通过提升安全意识，使其与最佳实践及业务需求保持一致，从而为应用安全（AppSec）团队提供巨大的帮助。这需要纳入完善的安全计划中，并认识到虽然OWASP Top 10是一个极佳的基准，但威胁形势瞬息万变（更不用说内部开发目标的压力），因此必须制定计划，通过更深入、更具体的安全技能培训来提升开发者能力。否则，将不可避免地错失早期修复的机会，并阻碍预防性、以人为本的网络安全整体战略的成功实施。

‍

我们已做好应对OWASP Top 10 2021的准备，而这仅仅是个开始！立即为您的开发者开启进阶安全技能路径。