OWASP TOP 10

A1 - Scripting entre sitios (XSS)

Los defectos XSS se producen cada vez que una aplicación solicita datos al usuario y los envía a un navegador web sin validar ni codificar primero el contenido. XSS permite a los "atacantes" ejecutar scripts en el navegador de la víctima que puede secuestrar sesiones de usuario, sitios web dedesfiguración, posiblemente introducir gusanos, etc.

A2 - Realización de errores

La realización de errores, especialmente la ejecución de SQL, son comunes en las aplicaciones web. La ejecución se produce cuando el usuario ha proporcionado datos y se envía a un intérprete como parte de un comando o consulta.

Los atacantes de datos hostiles realizan trucos en el intérprete ejecutando comandos o modificando datos.

A3 - Ejecución de archivos "maliciosos"

El código vulnerable a la inclusión remota de archivos (RFI) permite a los piratas incluir código hostil a los datos, lo que resulta en ataques devastadores, como el compromiso total del servidor. La ejecución y el ataque del archivo "malicioso" afecta a PHP, XML y cualquier marco que acepte nombres de archivo o archivo de los usuarios.

A4 - Referencia insegura al objeto directo

Un objeto de referencia directa se produce cuando un desarrollador expone una referencia a un objeto de implementación, como un archivo, directorio, registro de base de datos o clave, como una dirección URL o un parámetro. Los atacantes pueden manipular referencias para acceder a otros objetos, sin permiso.

A5 - Falsificación de solicitudes entre sitios (CSRF)

Un ataque CSRF en el navegador, de la víctima, conectado para enviar una solicitud de autenticación previa vulnerable a una aplicación web, que luego obliga al navegador de la víctima a realizar una acción hostil en beneficio del atacante. CSRF puede ser tan potente como la aplicación web que se pega.

A6 - Pérdida de información y mal manejo

Las preguntas pueden perder información involuntariamente sobre su configuración, funcionamiento interno o violar la privacidad con una serie de problemas de aplicación. Los atacantes utilizan esta debilidad para robar datos confidenciales o para implicar ataques más graves.

A7 - Autenticación rota e

Gestión de sesiones

Sus credenciales y sesión de cuenta son buenas y a menudo no están protegidas correctamente. Los atacantes ponen en peligro la contraseña, las claves, la autenticación o asumen la identidad de otros usuarios.

A8 - Almacenamiento criptográfico inseguro

Las aplicaciones web rara vez utilizan el cifrado adecuado para proteger los datos y las credenciales.  Los atacantes   utilizan datos débilmente protegidos para robar identidades y hacer otros delitos, como el fraude con tarjetas de crédito.

A9 – Comunicación insegura

Las aplicaciones a menudo no cifran el tráfico de red cuando necesita proteger las comunicaciones.

A10 - Omisión de restricción de acceso URL

A menudo, una aplicación solo protege el comportamiento confidencial al impedir que los vínculos o las direcciones URL se expongan a usuarios no autorizados. Los atacantes pueden usar esta debilidad para acceder y realizar operaciones no autorizadas accediendo directamente a esas direcciones URL.