什么是OWASP TOP10?
OWASP(開放式Web應用程序安全項目)，即對Web應用程序可能初選的最危險的漏洞分成10個類型，下面我將從10個分類進行以此介紹。
這里值得注意的是，OWASP TOP10有兩個版本，一個是2013年的，一個是2017年的，我這里介紹的2017版本的。
A1注入
即攻擊者將惡意數據作為命令或者數據查詢的一部分傳給了解析器，從而造成惡意命令的執行或者數據泄露的危險。
1.SQL注入
常見數據庫有SQL Server，Oracle，MySQL(開源)，PostgreSQL(開源)。
2.NoSQL注入
常見數據庫有MongoDB，Redis，CouchDB
3.OS注入
4.LDAP(輕量目錄訪問協議)
應用場景為查詢量大而修改量較少的數據管理系統。
A2失效的身份認證
通過錯誤使用應用程序的身份認證和會話管理功能，攻擊者能夠破譯密碼、密鑰或會話令牌，或者暫時或永久的冒充其他用戶的身份。
A3敏感數據泄露
不對敏感數據進行加密，造成用戶信息泄露
A4 XXE
如:XXE攻擊
A5失效的訪問控制
這個跟A2的區別在於，A2中攻擊者並未獲得通過身份認證的用戶身份，而在A5中攻擊者已經具備了通過身份認證的用戶身份，只不過系統把一些不該基於該用戶的權限給了該用戶。
A6安全配置錯誤
不多介紹
A7跨站腳本XSS
XSS:攻擊者往web應用程序插入惡意腳本，獲得用戶的cookie，釣魚網站，把用戶重定向到惡意站點，還可以執行拒絕服務攻擊。
A8反序列化漏洞
如:PHP反序列化漏洞和JAVA反序列化漏洞
A9使用含有已知漏洞的組件
比方說使用了一些含有漏洞的CMS
A10不足的日志記錄和監控
不多介紹