1- تزریق کد injection :

نقص های تزریق ، مانند SQL ، NoSQL ، OS و تزریق LDAP ، هنگامی رخ می دهد که داده های نامعتبر به عنوان بخشی از یک دستور یا پرس و جو به یک مفسر ارسال می شود. داده های خصمانه مهاجم می تواند مفسر را فریب دهد تا دستورات ناخواسته را اجرا کند یا بدون مجوز مناسب به داده ها دسترسی پیدا کند.

2- احراز هویت شکسته  Broken Authentication. :

عملکردهای برنامه مربوط به احراز هویت و مدیریت جلسه اغلب به اشتباه اجرا می شوند که به مهاجمان اجازه می دهد رمزهای عبور ، کلیدها یا نشانه های جلسه را به خطر بیاندازند یا از سایر نقص های پیاده سازی برای تصدیق هویت سایر کاربران به طور موقت یا دائمی استفاده کنند.

3- افشاء دیتاهای مهم و حساس Sensitive Data Exposure :

  بسیاری از برنامه های وب و API از اطلاعات حساس مانند مالی ، بهداشت و درمان و غیره به درستی محافظت نمی کنند. مهاجمان ممکن است برای انجام کلاهبرداری در کارتهای اعتباری ، سرقت هویت یا سایر جرایم ، دادههای مهم و حساس را که ضعیف محافظت شده را سرقت یا تغییر دهند. داده های حساس ممکن است بدون محافظت اضافی ، مانند رمزگذاری در زمانی که ذخیره شده اند و یا در حال تراکنش هستند ، به خطر بیفتد و هنگام مبادله با مرورگر ، به اقدامات احتیاطی خاصی نیاز دارد.

4- XML External Entities (XXE). بسیاری از پردازش کننده های قدیمی یا با پیکربندی ضعیف XML ،منابع موجودیت خارجی را در اسناد XML ارزیابی می کنند. از این موجودیتهای خارجی می توان برای افشای پرونده های داخلی با استفاده از کنترل کننده پرونده URI ، اشتراک فایل های داخلی ، اسکن پورت داخلی ، اجرای کد از راه دور و حملات انکار سرویس استفاده کرد.

5- کنترل دسترسی ناقص Broken Access Control:

محدودیت هایی که کاربران معتبر ،مجاز به انجام آن هستند اغلب به درستی اعمال نمی شوند. مهاجمان می توانند از این نقایص برای دستیابی به قابلیتهای غیرمجاز و / یا دادهها مانند دسترسی به حسابهای دیگر کاربران ، مشاهده فایلهای حساس ، تغییر داده های سایر کاربران ، تغییر حقوق دسترسی و غیره استفاده کنند.

6- پیکربندی غلط امنیتی Security Misconfiguration: پیکربندی غلط امنیتی معمولاً مسئله ای است که مشاهده می شود. این امر معمولاً نتیجه پیکربندی های پیش فرض ناامن ، تنظیمات ناقص یا موقت ، ذخیره سازی فضای باز ابر ، تنظیم نادرست هدرهای HTTP و پیام های خطای پرحرف حاوی اطلاعات حساس است. نه تنها باید تمام سیستم عامل ها ، چارچوب ها ، کتابخانه ها و برنامه ها از نظر ایمنی پیکربندی شوند ، بلکه باید به موقع به روز آوری شوند.

7- Cross-Site Scripting (XSS):

اشکال XSS هر زمان که برنامه ای شامل داده های غیرقابل اعتماد در یک صفحه وب جدید بدون اعتبارسنجی صحیح یا خروج از برنامه باشد ، یا با استفاده از یک API مرورگر که می تواند HTML یا JavaScript ایجاد کند ، یک صفحه وب موجود را با داده های ارائه شده توسط کاربر به روز می کند. XSS به مهاجمان اجازه می دهد اسکریپت هایی را در مرورگر قربانی اجرا کنند که می تواند جلسات کاربر را بدزدد ، وب سایت ها را مخدوش کند یا کاربر را به سایت های مخرب هدایت کند.

8- Insecure Deserialization:

 اغلب منجر به اجرای کد از راه دور می شود. حتی اگر  منجر به اجرای کد از راه دور نشود ، می توان از آنها برای انجام حملاتی از جمله حملات پخش مجدد ، حملات تزریق و حملات افزایش امتیاز استفاده کرد.

9- استفاده از افزونه ها و کتابخانه های آسیب پذیر شناخته شده Using Components with Known Vulnerabilities :

اجزایی مانند کتابخانه ها ، فریم ورک ها و سایر ماژول های نرم افزار با همان امتیازات برنامه اجرا می شوند. اگر از یک افزونه آسیب پذیر بهره برداری شود ، چنین حمله ای می تواند از دست رفتن جدی داده ها یا جذب سرور را تسهیل کند. برنامه ها و API ها با استفاده از افزونه های با آسیب پذیری های شناخته شده ممکن است دفاع برنامه را تضعیف کرده و حملات و تأثیرات مختلف را ممکن سازند.

10- عدم لاگ و نظارت کافی Insufficient Logging & Monitoring:

ثبت و نظارت ناکافی بهمراه عدم پاسخ مناسب و به موقع به حملات حادثه ، به مهاجمان اجازه می دهد تا بیشتر به سیستم ها حمله کنند ، ماندگاری را حفظ کنند ، سیستم بیشتری را محکم کنند و داده ها را دستکاری ، استخراج یا از بین ببرند. بیشتر مطالعات نقص های امنیتی نشان می دهد که زمان تشخیص نقض بیش از 200 روز است ، که معمولاً توسط طرفین خارجی تشخیص داده می شود تا فرآیندهای داخلی یا نظارت.

ده تا از جدیدترین و خطرناکترین ویروس و تهدیدات مخرب در سال 2020

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

*

code