企业 2013 年最高的 10 个信息安全威胁是哪些?

=======================================Wooyun Top Ten Risk 2013 http://vote.weibo.com/vid=2448953A1-引用不安全的第三方应用A2-互联网泄密事件/撞库攻击A3-XSS跨站脚本攻击/CSRFA4-系统错误/逻辑缺陷带来的自动化枚举A5-SQL注入漏洞A6-应用错误配置/默认配置A7-敏感信息泄露A9-未授权访问/权限绕过A9-账户体系控制不严/越权操作A10-企业内部重要资料/文档外泄

【王音的回答(16票)】:

以下是我认为如今威胁企业信息安全的威胁所在，以及排序和对应的描述：

A1-引用不安全的第三方应用

第三方开源应用、组件、库、框架和其他软件模块；

过去几年中，安全领域在如何处理漏洞的评估方面取得了长足的进步，几乎每一个业务系统都越来越多地使用了第三方应用，从而导致系统被入侵的威胁也随之增加。由于第三方应用平行部署在业务系统之上，如果一个易受攻击的第三方应用被利用，这种攻击将导致严重的数据失窃或系统沦陷。

A2-互联网泄密事件/撞库攻击

以大量的用户数据为基础，利用用户相同的注册习惯（相同的用户名和密码），尝试登陆其它的网站。2011年，互联网泄密事件引爆了整个信息安全界，导致传统的用户+密码认证的方式已无法满足现有安全需求。泄露数据包括：天涯：31,758,468条，CSDN：6,428,559条，微博：4,442,915条，人人网：4,445,047条，猫扑：2,644,726条，178：9,072,819条，嘟嘟牛：13,891,418条，7K7K：18,282,404条，共1.2亿条。

A3-XSS跨站脚本攻击/CSRF

属于代码注入的一种，XSS发生在当应用程序获得不可信的数据并发送到浏览器或支持用户端脚本语言容器时，没有做适当的校验或转义。XSS能让攻击者在受害者的浏览器上执行脚本行，从而实现劫持用户会话、破坏网站Dom结构或者将受害者重定向到恶意网站。

A4-系统错误/逻辑缺陷带来的自动化枚举

由于应用系统自身的业务特性，会开放许多接口用于处理数据，如果接口或功能未进行严谨的安全控制或判断，将会促进骇客加快攻击应用程序的过程，大大降低了骇客发现威胁的人力成本。

随着模块化的自动化攻击工具包越来越趋向完善，将给应用带来最大的威胁。

A5-注入漏洞

注入缺陷不仅仅局限于SQL，还包括命令、代码、变量、HTTP响应头、XML等注入。

程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，当不可信的数据作为命令或查询的一部分被发送到解释器时，注入就会发生。攻击者的恶意数据欺骗解释器，让它执行意想不到的命令或者访问没有准确授权的数据。

A6-应用错误配置/默认配置

数应用程序、中间件、服务端程序在部署前，未针对安全基线缺乏严格的安全配置定义和部署，

将为攻击者实施进一步攻击带来便利。常见风险：flash默认配置，Access数据库默认地址，WebDav配置错误，Rsync错误配置，应用服务器、Web服务器、数据库服务器自带管理功能默认后台和管理口令。

A7-敏感信息泄露

由于没有一个通用标准的防御规则保护好中间件配置信息、DNS信息、业务数据信息、用户信息、源码备份文件、版本管理工具信息、系统错误信息和敏感地址信息(后台或测试地址)的泄露，攻击者可能会通过收集这些保护不足的数据，利用这些信息对系统实施进一步的攻击。

A8-未授权访问/权限绕过

多数业务系统应用程序仅仅只在用户客户端校验授权信息，或者干脆不做访问控制规则限制，如果服务端对来自客户端的请求未做完整性检查，攻击者将能够伪造请求，访问未被授权使用的功能。

A9-账户体系控制不严/越权操作

与认证和会话管理相关的应用程序功能常常会被攻击者利用，攻击者通过组建的社会工程数据库，检索用户密码，或者通过信息泄露获得的密钥、会话token、GSID和利用其它信息来绕过授权控制访问不属于自己的数据。如果服务端未对来自客户端的请求进行身份属主校验，攻击者可通过伪造请求，越权窃取所有业务系统的数据。

A10-企业内部重要资料/文档外泄

无论是企业还是个人，越来越依赖于对电子设备的存储、处理和传输信息的能力。

企业重要的数据信息，都以文件的形式存储在电子设备或数据中心上，企业雇员或程序员为了办公便利，常常将涉密数据拷贝至移动存储介质或上传至网络，一旦信息外泄，将直接加重企业安全隐患发生的概率。

【黑哥的回答(1票)】:

这个投票有啥意义 不时要用数据说话嘛？wooyun直接出数据分析报告多好

【Rozero的回答(0票)】:

小哥，我来支持你了；

搜索了下wooyun对应的关键字，用数据说话：

搜索关键字： xss(共 2691 条记录)

搜索关键字： SQL注入(共 1497 条记录)

搜索关键字： 信息泄露(共 900 条记录)

搜索关键字： 弱口令(共 871 条记录)

搜索关键字： 未授权访问(共 162 条记录)

……

当然乌云里有很多漏洞都是没有点击关键字的，没统计进去；

说下我个人认为乌云的top：

1、SQL注入漏洞；

2、xss包括各种csrf；

3、互联网泄密事件/撞库攻击；

典型：大数据Hack系列；

4、应用错误配置/默认配置；

5、引用不安全的第三方应用；

xss对于很多网站来说并没有影响那么大，比如很多网站并没有社区且功能很简单，又不涉及到sns及社交网络所以xss的漏洞危害看场景，越来越多的xss自动攻击平台使得xss利用起来更简单，而sql注入在很多网站普遍存在，比如电信、移动、大型电商等都有存在，下边来看看今年owasp的top10：

A1 Injection

A2 Broken Authentication and Session Management

A3 Cross-Site Scripting (XSS)

A4 Insecure Direct Object References

A5 Security Misconfiguration

A6 Sensitive Data Exposure

A7 Missing Function Level Access Control

A8 Cross-Site Request Forgery (CSRF)

A9 Using Components with Known Vulnerabilities

A10 Unvalidated Redirects and Forwards

【Evi1m0的回答(0票)】:

谢邀，投票问题意义不大，大数据要拿数据说话。故此不多做评论:）

以下是个人认为企业2013年最高的3个信息安全威胁：

1、A3-XSS跨站脚本攻击/CSRF

2、A1-引用不安全的第三方应用

3、A5-SQL注入漏洞

【匿名用户的回答(0票)】:

如果是国企的话，有可能是网管离职，嗯哼~

原文地址:http://www.zhihu.com/question/21596439