OWASP （Open Web Application Security Project）
開放式 Web 應用程式安全項目（OWASP）是一個在線社區，在 Web 應用安全領域提供免費的文章，方法，文檔，工具和技術
OWASP Top Ten
中文版在這
擷取 pdf 裡面有 2013 版本跟 2017 版本的比較
2017 比 2013 版本，新增了 3 個新的資安風險
包括 :
「A4－XML 漏洞」
「A8－不安全的反序列化漏洞」
「A10－紀錄與監控不足」
A1: Injection 注入攻擊依然是 2013 和 2017 的榜首
建議防範 :
- 使用 Prepared Statements、Stored Procedures。
- 嚴密檢查所有輸入值。
- 控管錯誤訊息僅管理者可以閱讀。
- 使用過濾字串函數過濾非法的字元。
- 控管資料庫及網站使用者帳號權限。
2013 落榜的 A8 CSRF。因為很多平台整合了CSRF防禦，所以只有5％的應用程序受到了威脅。那什麼是 CSRF ( Cross Site Request Forgery ) 跨站請求偽造 ，又稱作 one-click attack，可以看這篇文章 : 讓我們來談談 CSRF
結尾來個 Huli 介紹的 orange 大大，很厲害的找漏洞大師
雖然文章都看不懂，但是卻覺得很有趣
