分析10種最常見的Web應(yīng)用漏洞

95%的應(yīng)用存在漏洞，其中25%受到嚴(yán)重或高風(fēng)險漏洞影響

新思科技(Synopsys, Nasdaq: SNPS)近日發(fā)布了《2022年軟件漏洞快照》報告。該報告審查了對 2,700多 個目標(biāo)軟件進(jìn)行的 4,300 多次安全測試的結(jié)果，包括 Web 應(yīng)用、移動應(yīng)用、源代碼文件和網(wǎng)絡(luò)系統(tǒng)(即軟件或系統(tǒng))。大多數(shù)安全測試是侵入式“黑盒”或“灰盒”測試，包括滲透測試、動態(tài)應(yīng)用安全測試 (DAST) 和移動應(yīng)用安全測試 (MAST)，旨在探測在真實環(huán)境不法分子會如何攻擊正在運行的應(yīng)用。

研究發(fā)現(xiàn)，82% 的測試目標(biāo)是 Web 應(yīng)用或系統(tǒng)，13% 是移動應(yīng)用，其余是源代碼或網(wǎng)絡(luò)系統(tǒng)/應(yīng)用。參與測試的行業(yè)包括軟件和互聯(lián)網(wǎng)、金融服務(wù)、商業(yè)服務(wù)、制造業(yè)、消費者服務(wù)和醫(yī)療保健。

在進(jìn)行的 4,300 多次測試中，新思科技發(fā)現(xiàn) 95% 的目標(biāo)應(yīng)用存在某種形式的漏洞(比去年的調(diào)查結(jié)果減少了 2%); 20%存在高危漏洞(比去年減少 10%);4.5%存在嚴(yán)重漏洞(比去年減少 1.5%)。

結(jié)果表明，安全測試的最佳方法是利用廣泛的可用工具，包括靜態(tài)分析、動態(tài)分析和軟件組成分析，以幫助確保應(yīng)用或系統(tǒng)沒有漏洞。例如，總測試目標(biāo)中有 22% 暴露于跨站點腳本 (XSS) 漏洞。這是影響 Web 應(yīng)用最普遍和最具破壞性的高/嚴(yán)重風(fēng)險漏洞之一。許多 XSS 漏洞發(fā)生在應(yīng)用運行時。好消息是，今年的調(diào)查結(jié)果中發(fā)現(xiàn)的風(fēng)險比去年低 6%。這意味著企業(yè)正在采取積極措施，以減少其應(yīng)用中的 XSS 漏洞。

新思科技軟件質(zhì)量與安全部門安全咨詢副總裁Girish Janardhanudu指出：“此研究報告強(qiáng)調(diào)，采用諸如DAST 和滲透測試等侵入式黑盒測試技術(shù)，可以有效發(fā)現(xiàn)軟件開發(fā)生命周期中的漏洞。一個全面的應(yīng)用安全測試方案應(yīng)該將這類安全工具應(yīng)該納入其中。”

《2022年軟件漏洞快照》報告還發(fā)現(xiàn)：

· 在 78% 的目標(biāo)應(yīng)用中發(fā)現(xiàn)了 OWASP 排名前 10 的漏洞。應(yīng)用和服務(wù)器配置錯誤占測試中發(fā)現(xiàn)的總體漏洞的 18%(比去年的調(diào)查結(jié)果減少 3%)，以 OWASP “A05:2021 - 安全配置錯誤”為主。發(fā)現(xiàn)的漏洞總數(shù)中有 18% 可歸為2021 OWASP Top 10中的“A01:2021 – 訪問控制失效”(比去年減少 1%)。

· 迫切需要軟件物料清單(SBOM)。在 21% 的滲透測試中發(fā)現(xiàn)了易受攻擊的第三方庫(比去年的調(diào)查結(jié)果增加了 3%)。這對應(yīng)于 2021 年 OWASP 排名前 10 名中的“A06:2021 - 易受攻擊和過時的組件”。大多數(shù)企業(yè)混合使用定制代碼、商業(yè)現(xiàn)成代碼和開源組件來創(chuàng)建他們在銷售或內(nèi)部使用的軟件。這些企業(yè)通常有非正式的(或沒有)物料清單，不能詳細(xì)說明他們的軟件正在使用哪些組件，以及這些組件的許可證、版本和補(bǔ)丁狀態(tài)。許多公司在使用數(shù)百個應(yīng)用或軟件系統(tǒng)，每個公司本身可能有成百上千個不同的第三方和開源組件。因此，他們迫切需要準(zhǔn)確、最新的SBOM，以有效追蹤這些組件。

· 低風(fēng)險漏洞也會被利用以發(fā)起攻擊。在測試中發(fā)現(xiàn)的漏洞中有 72% 被認(rèn)為是低風(fēng)險或中等風(fēng)險。也就是說，攻擊者無法直接利用發(fā)現(xiàn)的漏洞來訪問系統(tǒng)或敏感數(shù)據(jù)。盡管如此，這些漏洞風(fēng)險不容小覷，因為不法分子甚至可以利用風(fēng)險較低的漏洞來發(fā)起攻擊。例如，冗長的服務(wù)器Banner信息(在49%的DAST測試和 42% 的滲透測試中發(fā)現(xiàn))提供了服務(wù)器名稱、類型和版本號等信息，攻擊者可以利用這些信息對特定技術(shù)棧發(fā)起有針對性的攻擊。

點擊這里，下載《2022年軟件漏洞快照》報告。