开放Web应用安全项目(OWASP)

　　开放Web应用安全项目(OWASP)

　　OWASP是一个开源的、非盈利的全球性安全组织，致力于Web应用的安全研究。其使命是使Web应用更加安全，使企业和组织能够对安全风险作出更清晰的决策。

　　OWASP曾经例举了10大常见攻击手段：

　　1)注入

　　攻击者把包含一段指令的数据发给应用，应用会当做指令执行。比如上面提到的SQL注入。

　　2)失效的身份认证和会话管理

　　应用程序没有能够提供正确的身份认证和会话管理功能，导致攻击者可以冒充他人身份。

　　3)跨站XSS

　　攻击者通过往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入Web页面里的Script代码会被执行，从而达到恶意攻击用户的目的。

　　4)不安全的对象直接引用

　　一个已经授权的用户通过更改访问时的一个参数，从而访问到原本其并没有得到授权的对象。比如修改URI里的购物车id参数访问他人的购物车。