笔试者作品2018-2020的一些统计数据

在过去的几年里,我一直在从计算机安全研究中收集统计数据。 我决定分享一下。 在这里,您可以找到样品渗透测试报告 – 报告。 在与渗透测试人员的大量访谈中,我听到了这样一个问题:"这些年来,Web 应用程序的安全性是否有所提高? 在我看来- 是的, 但只有在它有点被迫自下而上的监管。 渗透测试有助于提高安全性吗? -绝对是的!

我们在谈论什么数据?

在过去的两年里,我已成功地进行了100多个渗透测试,安全审核,分析和重新测试。 这些是针对不同客户的不同应用程序。 绝大多数是网络应用程序。 当应用程序首次测试时,它几乎总是发现一个错误,将威胁归类为严重或高。 对于新手,使用此类漏洞可完全控制应用程序(通常也是服务器),或允许访问敏感数据。

易感性分类的统计数据看起来像这样:

渗透测试统计
*特定易感性应用程序的实例,而不是应用程序中特定漏洞的实例数(例如 一个应用程序中的 7 个不同的 XSS 被计算为 1 个关键错误类型)
渗透测试统计百分比

我认为,对已经持续多年的应用程序中的这么多安全错误的检测表明,在软件开发的早期阶段,安全时间太少。 我正在考虑教育程序员,研究软件架构构建和风险建模的安全性。 如果没有这些漏洞,这些漏洞仍将在软件开发的最后阶段(因此维修成本高)或更糟,仅在这些不太合乎道德的黑客;)的生产环境中捕获。

最常见的漏洞,由于类型的

让我们看看更多的统计数据。 这一次,最常见的漏洞类型。

前 12 名彭斯特
*特定易感性应用程序的实例,而不是应用程序中特定漏洞的实例数(例如 一个应用程序中的 7 个不同的 XSS 被计算为 1 个关键错误类型)
前 12 名彭斯特

对于不同的颜色,我试图标记给定漏洞的典型风险分类(当然,简单地说,在实践中,这取决于许多因素)。 反过来,它看起来像这样:酒红色 – 关键,红色 – 高,橙色 – 中等,绿色低。

首先,这里可以看到,XSSy 是最常发现的最受批评的漏洞类型。 令我吃惊的是,它已经知道了大约30年。 此外,它可能是最可识别的安全错误类别。 因此,它的发生应该已经很少见了。

反过来,存在与授权相关的漏洞,这是验证用户有权执行特定操作的有效过程。 这个问题在具有丰富 API 的应用程序中尤为明显。

如果您查看最常见的错误的统计数据 – 首先是披露不应公开的信息。 请注意,应用黑客攻击的第一阶段是侦察。 任何看似微不足道的冗余信息最终都可能证明对有效攻击至关重要。

然后列出非一般错误消息。 和以前一样,他们经常会泄露太多的敏感数据,例如有关所使用的技术的数据。

排在第三位的是问题,我认为这个问题将在未来几年的统计中推进到第一位。 这是一种技术债务,与已知漏洞相关的组件的使用。 在我看来,今天的应用程序是由许多小块和依赖链组成的。 这导致它几乎每天都会出现一个小组件已经过时。 征服它的版本通常涉及重建应用程序的一部分(至少我从开发人员;)获得这样的信息),这个过程不幸消耗了大量的资源。

OWASP 前 10 名与前 12 名彭斯特

OWASP 前 10 名列表中检测到的最常见漏洞列表如下:

OWASP 前 10 名与前 12 名彭斯特

很难在 OWASPa 列表中映射我的"发现"1 到 1。 我们不会在这里找到"破碎身份验证"的反映。 这仅仅是因为帐户粗野大多超出了我的测试范围(在这一点上的其他错误不在我的顶部列表中)。 也徒劳地寻找指向XXE的链接。 根据我的观察,这个类的错误发生频率越来越低。 我认为这与默认情况下负责处理 XMLy 的框架不再允许使用外部实体有关。 然而,上述摘要表明,OWASP前10名名单不仅仅是一个枯燥的理论,而且体现在实践中。 因此,值得使用,以及 开放网络应用安全项目提供的所有知识。

Chcesz wiedzieć więcej?

Zapisz się i bądź informowany o nowych postach (zero spamu!).
Dodatkowo otrzymasz, moją prywatną listę 15 najbardziej przydatnych narzędzi (wraz z krótkim opisem), których używam przy testach penetracyjnych.

Nigdy nie podam, nie wymienię ani nie sprzedam Twojego adresu e-mail. W każdej chwili możesz zrezygnować z subskrypcji.

Bookmark the permalink.

Podziel się swoją opinią na temat artykułu