Webalkalmazások 100 sebezhetősége

Injekciós támadások

1. SQL-injekció (SQLi)
2. Cross-site scripting (XSS)
3. Cross-site request forgery (CSRF)
4. Távoli kódfuttatás (RCE)
5. Parancsinjekció
6. XML-injekció
7. LDAP-injekció
8. XPath-injekció
9. HTML-injekció
10. Server-Side Includes (SSI) injekció
11. OS-parancsinjekció
12. Vak (blind) SQL-injekció
13. Szerveroldali sabloninjekció (SSTI)

Hibás hitelesítés és munkamenet-kezelés

1. Munkamenet-rögzítés (session fixation)
2. Brute force támadás
3. Munkamenet-eltérítés
4. Jelszótörés
5. Gyenge jelszótárolás
6. Nem biztonságos hitelesítés
7. Sütilopás
8. Hitelesítő adatok újrafelhasználása

Érzékeny adatok kitettsége

1. Nem megfelelő titkosítás
2. Nem biztonságos közvetlen objektum-hivatkozás (IDOR)
3. Adatszivárgás
4. Titkosítatlan adattárolás
5. Hiányzó biztonsági fejlécek
6. Nem biztonságos fájlkezelés

Biztonsági hibás konfiguráció

1. Alapértelmezett jelszavak
2. Könyvtárlistázás
3. Védtelen API-végpontok
4. Nyitott portok és szolgáltatások
5. Nem megfelelő hozzáférés-szabályozás
6. Információszivárgás
7. Frissítetlen szoftverek
8. Hibásan beállított CORS
9. Hibásan beállított HTTP biztonsági fejlécek

XML-hez kapcsolódó sebezhetőségek

1. XML External Entity (XXE) injekció
2. XML Entity Expansion (XEE)
3. XML-bomba

Hibás hozzáférés-szabályozás

1. Nem megfelelő jogosultságkezelés
2. Jogosultság-kiterjesztés
3. Nem biztonságos közvetlen objektum-hivatkozás
4. Kényszerített böngészés (forceful browsing)
5. Hiányzó funkciószintű hozzáférés-szabályozás

Nem biztonságos deszerializáció

1. Távoli kódfuttatás deszerializáción át
2. Adatmanipuláció
3. Objektuminjekció

API-biztonsági problémák

1. Nem biztonságos API-végpontok
2. API-kulcs kitettsége
3. Hiányzó kéréskorlátozás (rate limiting)
4. Nem megfelelő bemenet-ellenőrzés

Nem biztonságos kommunikáció

1. Közbeékelődéses (MITM) támadás
2. Elégtelen szállítási rétegbeli védelem
3. Nem biztonságos SSL/TLS-konfiguráció
4. Nem biztonságos kommunikációs protokollok

Kliensoldali sebezhetőségek

1. DOM-alapú XSS
2. Nem biztonságos cross-origin kommunikáció
3. Böngészőgyorsítótár-mérgezés
4. Clickjacking
5. HTML5 biztonsági problémák

Szolgáltatásmegtagadás (DoS)

1. Elosztott szolgáltatásmegtagadás (DDoS)
2. Alkalmazásrétegbeli DoS
3. Erőforrás-kimerítés
4. Slowloris támadás
5. XML-alapú szolgáltatásmegtagadás

Egyéb webes sebezhetőségek

1. Server-side request forgery (SSRF)
2. HTTP-paraméterszennyezés (HPP)
3. Nem biztonságos átirányítások és továbbítások
4. Fájlbeillesztési sebezhetőségek
5. Biztonsági fejlécek megkerülése
6. Clickjacking
7. Nem megfelelő munkamenet-időkorlát
8. Elégtelen naplózás és monitorozás
9. Üzleti logikai sebezhetőségek
10. API-visszaélés

Mobil webes sebezhetőségek

1. Nem biztonságos adattárolás mobileszközön
2. Nem biztonságos adatátvitel mobileszközön
3. Nem biztonságos mobil API-végpontok
4. Mobilalkalmazás visszafejtése

IoT webes sebezhetőségek

1. Nem biztonságos IoT-eszközkezelés
2. Gyenge hitelesítés IoT-eszközökön
3. IoT-eszközök sebezhetőségei

Web of Things (WoT) sebezhetőségek

1. Jogosulatlan hozzáférés okosotthonokhoz
2. IoT-adatvédelmi problémák

Hitelesítés megkerülése

1. Nem biztonságos „Emlékezz rám” funkció
2. CAPTCHA megkerülése

Server-side request forgery (SSRF)

1. Vak (blind) SSRF
2. Időalapú vak SSRF

Tartalomhamisítás

1. MIME-sniffing
2. X-Content-Type-Options megkerülése
3. Content Security Policy (CSP) megkerülése

Üzleti logikai hibák

1. Következetlen validálás
2. Versenyhelyzet (race condition)
3. Rendelésfeldolgozási sebezhetőségek
4. Ármanipuláció
5. Fióklistázás (account enumeration)
6. Felhasználói szintű hibák

Nulladik napi sebezhetőségek

1. Ismeretlen sebezhetőségek
2. Javítatlan sebezhetőségek
3. Zero-day exploitok

‍