5、授权/认证漏洞

SANS研究所将下列问题都划分为被称为“渗透防御”，指出“误用，滥用或只是完全忽略”的防御技术常常会带来漏洞。如果使用得当，就可以有效保护应用程序，但如果应用不当，则会带来巨大的安全漏洞。图片中，还列出了其他几个相关的漏洞。

授权/认证漏洞
 

6、滥无拘束上传带有恶意代码文件

开发者一般都允许用户上传图片等文件，但攻击者可借此将恶意代码隐藏在不同扩展名的文件中。你可要知道，服务器端可不是简单的显示上传的文件，而是会执行相关的PHP脚本或者运行其他程序。

滥无拘束上传带有恶意代码文件

7、访问控制错误

另一种“渗透防御”，它们与访问控制和用户优先权有关。攻击者可以截获并将修改的数据发送到服务器，如果应用程序不验证这些数据，攻击者就可以绕过安全关卡。此外攻击者还可以利用应用程序中本没必要的权限特权，实现各种非法目的。

访问控制错误

8、跨站点请求伪造

跨站点请求伪造攻击往往导致数据丢失或执行恶意代码，是一种非常流行黑客技术。攻击者诱骗用户激活请求，诱使服务器认为是用户发出的合法请求，从而给攻击者提供访问权限击者的特权。攻击大型站点的互联网蠕虫，还会使用CSRF，如果与XSS结合使用的话，将会造成广泛的和毁灭性的损害。

CSRF跨站点请求伪造

9、风险资源管理

“风险资源管理”包括那些不能很好地管理重要系统资源的创建、使用、分配和安全销毁的软件。管理路径暴露出的漏洞将系统上的所有文件置于风险之下，让攻击者有机可乘，访问系统文件和服务器上的其他内容。另外开发者允许未经验证是否被篡改的情况下运行外部代码，也会导致漏洞的发生。

风险资源管理

10、不合理授权

虽然未经授权就能访问代码是一个大问题，但如果授权机制仅仅是摆设而能够轻易绕过，更是一个大问题。常见的一种攻击方式是利用存有用户Web信息的Cookie(包含某些网站的登录权限)。攻击者通过修改该cookie访问其他资源。

不合理授权

(责任编辑：)