DDR爱好者之家 Design By 杰米
国际安全组织新发布：2004年十大网络应用漏洞
IT安全专业人士的开放网络应用安全计划组织(OWASP)发布的第二份年度十大网络应用安全薄弱环节列表中，增加了“拒绝提供服务”类型的隐患，因为在去年该类型的隐患已屡见不鲜。OWASP的主席兼“奠基石”(一家提供战略安全服务的公司）顾问会主任柯费·马克称：“我们预测：本年度，主要的电子商务网站将遭到拒绝提供服务的攻击，因为黑客已经对众多的用户密码感到厌烦。”比如：当一名掌握着大量电子邮件帐号的黑客发起攻击，致使电子商务网站上的用户密码被修改时，他便得手了。
当柯费在Charles
Schwab从事IT安全工作时，他和其他公司的同行组建了OWASP，并开始着手对与保护网站安全相关的重大问题进行评定。最终，在随后的一年他们发表了一份近200页的OWASP指导性文献。这份资料直接面向IT安全专业人士和编程人员，其下载次数多达150万次。
柯费说：“它被认可的程度远远超乎我们的估计。”但是，编程人员却说：他们需要某种能拿给CIO和其他主管人员看的东西，因此，去年该机构发布了它的第一份《十大网络应用安全薄弱环节列表》。此处是2004年的十大薄弱环节名列：
未经验证的参数：某信息在被一种网络应用软件使用之前未被验证其合法性，攻击者可以利用这种信息攻击后方应用软件组件。
失效的访问控制：控制各种授权用户的访问权限的限制性条件施用不当，造成攻击者利用这些漏洞访问其它用户的帐户或者使用非经授权的功能。
失效的帐户及对话管理：帐户证书和对话权标没有得到妥当的保护，导致攻击者对密码、密钥、对话信息或者权标实施非法操作，并以其它用户的身份通过认证；
跨站点脚本漏洞：网络应用软件可以被攻击者用作一种将攻击转移至终端用户的浏览器的装置。一次成功的攻击可以获取到终端用户的对话信息或可以伪造内容以欺骗用户。
缓冲溢出：以某些无法正确验证输入信息的语言编写的网络应用软件程序组件很可能会毁掉某个进程；同时，在某些情况下，也能被用于控制某个进程。这些组件可能包括公共网关接口(CGI)、程序库、驱动程序和网络应用软件服务器组件。
命令注入漏洞：当网络应用软件访问外部系统或者是本地操作系统时，网络应用软件可能会传递出一些参数。如果攻击者能够在这些参数中嵌入一些恶意命令，那么外部系统可能会以这种网络应用软件的名义来执行这些命令。
错误的非正确处理：在用户对系统进行正常操作的过程中出现一些错误，这些错误没有得到正确的处理。在这种情况下，攻击者能够利用这些错误获取到详细的系统信息、拒绝服务、引起安全系统瘫痪或者摧毁服务器。
非安全存储：使用加密功能来保护信息和证书的网络应用软件，业已经过证实难以正常进行编码，从而导致保护功能的弱化。
拒绝提供服务：如上所述，攻击者极度消耗网络应用资源，以致其他合法用户再无法利用这些资源或使用应用程序。攻击者还可以封锁用户的帐户或导致无法进行帐户申请。
非安全的配置管理：拥有一个过得硬的服务器配置标准对于保护网络应用软件来说是至关重要的。这些服务器有许多可以影响到安全的配置选项，如果选择错误将使其失去安全性。“网络应用安全面临着各种挑战，”柯费说。“许多问题是人的逻辑问题，这些问题是永远无法用技术手段找得到的。没有什么灵丹妙药。它是一道逻辑上的难题，一类有待解决的新问题。”
IT安全专业人士的开放网络应用安全计划组织(OWASP)发布的第二份年度十大网络应用安全薄弱环节列表中，增加了“拒绝提供服务”类型的隐患，因为在去年该类型的隐患已屡见不鲜。OWASP的主席兼“奠基石”(一家提供战略安全服务的公司）顾问会主任柯费·马克称：“我们预测：本年度，主要的电子商务网站将遭到拒绝提供服务的攻击，因为黑客已经对众多的用户密码感到厌烦。”比如：当一名掌握着大量电子邮件帐号的黑客发起攻击，致使电子商务网站上的用户密码被修改时，他便得手了。
当柯费在Charles
Schwab从事IT安全工作时，他和其他公司的同行组建了OWASP，并开始着手对与保护网站安全相关的重大问题进行评定。最终，在随后的一年他们发表了一份近200页的OWASP指导性文献。这份资料直接面向IT安全专业人士和编程人员，其下载次数多达150万次。
柯费说：“它被认可的程度远远超乎我们的估计。”但是，编程人员却说：他们需要某种能拿给CIO和其他主管人员看的东西，因此，去年该机构发布了它的第一份《十大网络应用安全薄弱环节列表》。此处是2004年的十大薄弱环节名列：
未经验证的参数：某信息在被一种网络应用软件使用之前未被验证其合法性，攻击者可以利用这种信息攻击后方应用软件组件。
失效的访问控制：控制各种授权用户的访问权限的限制性条件施用不当，造成攻击者利用这些漏洞访问其它用户的帐户或者使用非经授权的功能。
失效的帐户及对话管理：帐户证书和对话权标没有得到妥当的保护，导致攻击者对密码、密钥、对话信息或者权标实施非法操作，并以其它用户的身份通过认证；
跨站点脚本漏洞：网络应用软件可以被攻击者用作一种将攻击转移至终端用户的浏览器的装置。一次成功的攻击可以获取到终端用户的对话信息或可以伪造内容以欺骗用户。
缓冲溢出：以某些无法正确验证输入信息的语言编写的网络应用软件程序组件很可能会毁掉某个进程；同时，在某些情况下，也能被用于控制某个进程。这些组件可能包括公共网关接口(CGI)、程序库、驱动程序和网络应用软件服务器组件。
命令注入漏洞：当网络应用软件访问外部系统或者是本地操作系统时，网络应用软件可能会传递出一些参数。如果攻击者能够在这些参数中嵌入一些恶意命令，那么外部系统可能会以这种网络应用软件的名义来执行这些命令。
错误的非正确处理：在用户对系统进行正常操作的过程中出现一些错误，这些错误没有得到正确的处理。在这种情况下，攻击者能够利用这些错误获取到详细的系统信息、拒绝服务、引起安全系统瘫痪或者摧毁服务器。
非安全存储：使用加密功能来保护信息和证书的网络应用软件，业已经过证实难以正常进行编码，从而导致保护功能的弱化。
拒绝提供服务：如上所述，攻击者极度消耗网络应用资源，以致其他合法用户再无法利用这些资源或使用应用程序。攻击者还可以封锁用户的帐户或导致无法进行帐户申请。
非安全的配置管理：拥有一个过得硬的服务器配置标准对于保护网络应用软件来说是至关重要的。这些服务器有许多可以影响到安全的配置选项，如果选择错误将使其失去安全性。“网络应用安全面临着各种挑战，”柯费说。“许多问题是人的逻辑问题，这些问题是永远无法用技术手段找得到的。没有什么灵丹妙药。它是一道逻辑上的难题，一类有待解决的新问题。”
DDR爱好者之家 Design By 杰米
广告合作：本站广告合作请联系QQ：858582 申请时备注：广告合作（否则不回）
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
免责声明：本站资源来自互联网收集,仅供用于学习和交流,请遵循相关法律法规,本站一切资源不代表本站立场,如有侵权、后门、不妥请联系本站删除！
DDR爱好者之家 Design By 杰米
暂无评论...
RTX 5090要首发 性能要翻倍！三星展示GDDR7显存
三星在GTC上展示了专为下一代游戏GPU设计的GDDR7内存。
首次推出的GDDR7内存模块密度为16GB，每个模块容量为2GB。其速度预设为32 Gbps（PAM3），但也可以降至28 Gbps，以提高产量和初始阶段的整体性能和成本效益。
据三星表示，GDDR7内存的能效将提高20%，同时工作电压仅为1.1V，低于标准的1.2V。通过采用更新的封装材料和优化的电路设计，使得在高速运行时的发热量降低，GDDR7的热阻比GDDR6降低了70%。
更新日志
2024年11月23日
2024年11月23日
- 凤飞飞《我们的主题曲》飞跃制作[正版原抓WAV+CUE]
- 刘嘉亮《亮情歌2》[WAV+CUE][1G]
- 红馆40·谭咏麟《歌者恋歌浓情30年演唱会》3CD[低速原抓WAV+CUE][1.8G]
- 刘纬武《睡眠宝宝竖琴童谣 吉卜力工作室 白噪音安抚》[320K/MP3][193.25MB]
- 【轻音乐】曼托凡尼乐团《精选辑》2CD.1998[FLAC+CUE整轨]
- 邝美云《心中有爱》1989年香港DMIJP版1MTO东芝首版[WAV+CUE]
- 群星《情叹-发烧女声DSD》天籁女声发烧碟[WAV+CUE]
- 刘纬武《睡眠宝宝竖琴童谣 吉卜力工作室 白噪音安抚》[FLAC/分轨][748.03MB]
- 理想混蛋《Origin Sessions》[320K/MP3][37.47MB]
- 公馆青少年《我其实一点都不酷》[320K/MP3][78.78MB]
- 群星《情叹-发烧男声DSD》最值得珍藏的完美男声[WAV+CUE]
- 群星《国韵飘香·贵妃醉酒HQCD黑胶王》2CD[WAV]
- 卫兰《DAUGHTER》【低速原抓WAV+CUE】
- 公馆青少年《我其实一点都不酷》[FLAC/分轨][398.22MB]
- ZWEI《迟暮的花 (Explicit)》[320K/MP3][57.16MB]