好色先生TV

?? ?????? ?? ????( Web )? ????? ?? ??? ??? ?? ?? ?? ?????? ?? ???????. OWASP Top 10? ???? ???? ???? ??????? ??? ??? ? ??? ?? ??? ?????? ?? ??? ???? ?? ?? ????????.

?? ??? ???? ???? ?? ??? ??? ??? ???? ?? OWASP ?? 10? ??? ????? ?????. 2021?? ??? ?? ??? OWASP Top 10??? ? ?? ??? ??? ?? ?? ?? ??? ??? ??? ??? ??? ???? ?? ?? ??? ???? ???????.

?? ?? ??? ??? ? ??? 2021? OWASP ?? 10? ?? ?? ??? ??? OWASP ?? 10?? ?????? ??? ????? ?? ????, ?? ?? ??? ????? ? ???. ????? ???? ????? ???? ?? ?? ?? ??? ?? ????? ???? ???. ?, IT ?? ???? ?? ????? ?????? ???? '????' ???? ??? ???? ???.

OWASP ?? 10?(2021) ????? ??????

A1: ??

??? ? ?? ??? ??? ?????? ??? ??? ??? ??? ??? ? ????. ???? ??? ??? ?? SQL, LDAP, XPath ?? NoSQL ?? ?????? ???? ?? ? ?? ?????. ???? ??? ??? ??? ???? ?? ?????? ?? ?? ??? ????? ???.

??????? ??? ??? ??? ??? ??????

• ???? ??? ???? ???? ??? ???? ?? ??.
• ?? ??? ??? ?? ?? ?? ?? ?????.
• ??? ??? ???? ??? ?? ???? ???? ???.

?? ??? ??? ??? ??????

• ?????? ?? ?? ???? ??.
• ??? ???? ??.
• ???, ?? ?? ?? ??.

??? ??? ?? Fortify ??? ??? ? ? ????

• ???? ??: Fortify ?? ??? ??? ???? ??? ?? ??? ?????.
• QA ?? ???? ?? ??: Fortify ???? ??? ???? ???? ??? ?????.
• ?? ?? ??: Fortify ? Java ? .NET ??? ??? ?? ??? ?? ? ?? ??? ?????.

---

A2: ?? ??

????? ???????? ID ?? ?? ???? ??? ? ??? ?? ? ????. ??, ???? ??, API ??? ???? ?? ?? ??, ??? ?? ?? ?? ??? ??? ??? ? ????. ???? ???? ???? ??? ???? ??? ???? ???, ???? ?? ???? ??????.

??????? ?? ??? ??? ??? ??????

• ?? ID? ?????, ??? ????? ???, ???? ????.
• ???? ??? NIST 800-63B? ?? ??? ??? ????.
• 2?? ??(2FA)? ??? ???? ??? ?????.

??? ??? ?? ??? ????

• ??? ?? ??.
• ??? ?? ??.
• ??? ???? ??.

Fortify ??? ???????

• ???? ??: Fortify ?? ??? ?? ??? ???? ??? ?????.
• QA ?? ???? ?? ??: Fortify ?? ? ?? ?? ??? ???? ?????.
• ?? ?? ??: Fortify ?? Java ? .NET ?????? ???? ?? ??? ????? ?????.

---

A3: ??? ??? ??

??????? ????? ?? ???, ?? ?? ?? ??(PII) ? ?? ?? ?? ??? ??? ???? ? ??? ??? ?? ??? ??? ? ????. ??? ???????? ??? ??? ???? ????? ?? ?? ????? ?? ?????? ??? ?? ??? ???? ?? ??? ?? ? ????. ???? ??? ??? ???? ????? ????? ??? ? ?? ??? ?? ???.

??????? ??? ??? ??? ??? ??? ??????

• HTTP, SMTP, FTP? ?? ????? ?? ?? ???? ???? ?????.
• ??? ???? ????? ?? ???? ??, ?? ?? ???? ??.
• ?????? ????? ??? ?? ??? ???? ??.

??? ??? ??? ??? ??????

• ?? ?? ???(?: HIPAA ?? GDPR)? ??? ?? ??? ???? ??.
• ?? ???? ?? ???? ??????? ?????? ? ??? ?????.
• ???? ??? ? ??? ???? ?? ?????.

??? ??? ??? ?? Fortify ?? ??? ?? ? ????

• ???? ??: Fortify ??? ??? ??? ???? ?? ??? ??????.
• QA ?? ???? ?? ??: Fortify ???? ???? ?????? ???? ???? ??? ??? ?????.
• ?? ?? ??: Fortify Java ? .NET? ??????? ?? ?? ? ?? ??? ?????.

---

A4: XML ?? ???

XML ?? ??? ??? ?? ???? ?? ??? ??? XML ??? ?? ??? ??? ?? ??? ? ??? ? ????. ??? ? ?? ???? XML ??? ?? ???? ??????, ?? ?? ??(DTD)? ???? ?? ?? SOAP 1.0? ?? ???? ?? ?????? ???? ???????? ?? ??? ?? ?????. XML? SVG ? ??? ???? ???? ????, PDF ? RSS? ?? ?? ??? ????? ???? ?????. ???? XML ???? ?? ???? ???? ????? ???? ???? ????? ???? ??? ????? ???? ???? ??? ????.

??????? XML ?? ???? ??? ??? ??????

• ??????? XML ??? ?? ???? ????? DTD? ????? ????.
• SSO, v1.2 ?? SOAP ?? v2.0 ?? .NET Framework? SAML? ?????.
• ?? ???? ??? ? ?? ??? ????? ??? ? ?? XML ???? ?????.

XML ?? ???? ??? ??????

• ??? ??? ??.
• ???? ???? URL ??.
• ??? ?? ??(DoS).

Fortify XML ?? ???? ?? ??? ? ? ????

• ???? ??: Fortify ?? ??? XML ??? ???? ?? ??? ?????.
• QA ?? ???? ?? ??: Fortify ??? XML ??? ???? ???? ????? ????? ?????.
• ?? ?? ??: Fortify ?? Java ? .NET ??????? ??? ?? ??? ?? ? ?? ??? ?????.

---

A5: ??? ?? ??

?? ?? ??? ?? ? ?? ??? ????? ???? ??? ??? ?? ?? ?? ???? ?? ? ??? ? ????. ??? ???? ?? ?? ??? ?? ???? ?? ??? ???? ??????? ?? ??? ???? ??? ??? ?? ??? ??? ???? ??? ?? ?? ?????. ???? ??? ??? ???? ??? ???? ???? ??? ??? ? ????.

??????? ??? ??? ??? ??? ??? ??????

• ????? ?? ???? ????? ???? ???? ???? ???? ??? ? ????.
• ???? ?? ?? ??? ?? ????? ?? ??? ???? ??.
• ???, ???? ??? ??? ?? ??? ?? ??.

??? ??? ???? ?? ??? ????

• ?? ?? ?? ?? ??? ???? ??.
• ??? ?? ?? ??.
• ??? ?? ?? ??? ????.

??? ??? ??? ?? Fortify ??? ??? ?? ? ????

• ???? ??: Fortify ??? ????? ???? ???? ?? ??? ??? ??? ??? ? ????.
• QA ? ??? ???? ??: Fortify ????? ??? ?? ??? ??? ??? ?? ???? ?????.
• ?? ?? ??: Fortify Java ? .NET ??????? ?? ??? ??? ?? ??? ?????.

---

A6: ?? ?? ??

?????? ?? ?? ??? ???? ?? ?? ?? ??? ??? ? ????. ??? ??? ???? ??? ? ?????? ???? ???? ? ????? ????? ?????? ??? ?? ???? ??? ? ????. ?? ?? ? ??, "??" ?? ???, ???? ?? ????? ? ????? ?? ?????. ???? ?? ??? ?? ?? ?? ???? ????? ??? ??? ? ????.

??????? ?? ?? ??? ??? ??? ??????

• ????? ???? ?? ?? ? ?? ?? ???? ?? ????.
• ?? ? ?? ?? ? ?? ?? ?? ?? ???? ?????.
• ??? ???? ???? ??? ?? ??? ???? ???? ????.

?? ??? ???? ?? ??? ????

??? ?? ???? ??? ?? ???? ?????.

?? ?? ??? ?? Fortify ??? ??? ?? ? ????

• ???? ??: Fortify ???? ?? ?????? ??? ? ?? ??? ?????.
• QA ? ???? ?? ??: Fortify ?????? ? ?? ??? ??? ??? ???? ?????.
• ???? ?? ??: Fortify ?? ??? ?? ??? ?? ?? ?? ??? ?????.

---

A7: ??? ? ????

??? ? ?? ?? ???? ?? ??? ??? HTML? ??? ????? ???? ?? ??? ?? ????? ??? ?? ? ?? ?? ??? ??? ????(XSS) ??? ??? ? ????. ??????? ???? ?? ??? ??? ?? ??? ??? ? ?? ???? ????? ??? ?? ??? ????? ??? ? ??? ???? ??? ?? ????. ???? ??? ????? ?? ?? ??? ????? ?? ??? ???? ???? ????? ???? ??? ? ????.

??????? ??? ??? ????(XSS)? ??? ??? ??????

????? ????? ?? ??? ????? ???? ?? ? ?? ??? XSS? ????:

• ??? XSS: ?????? ?? API? HTML ??? ??? ? ?? ??? ?????.
• ??? XSS: ???? ??? ???? ?? ??? ??? ??? ??? ?? ??????.
• DOM XSS: ??? ? ?? ??? ???? ??????, ????? ? API.

??? ??? ????(XSS)? ??? ??????

• ???????? ???? ??? ?????.
• ?? ? ???????? ??? ??.
• ???? ??? ??.

??? ??? ????(XSS)? ?? Fortify ? ??? ??? ?? ? ????

• ???? ??: Fortify ???? XSS ???? ???? ????? ???? ?????.
• QA ? ?? ??? ???? ??: Fortify XSS? ??? ???? ?? ??? ?? ???? ??? ???? ?????.
• ?? ?? ??: Fortify ?? ????? ??? Java ? .NET ???? ?? ??? ?????.

---

A8: ???? ?? ????

???? ?? ???? ??? ??? ?????? ??? ? ?? ???? ???? ??? ??? ? ??? ???? ??, ?? ? ??????? ???? ????? ?????? ??? ??? ? ??? ? ????. ???? ???? ???? ?? ?? ??? ? ?? ???? ??? ??? ?? ?? ??? ?? ????. ???? ?????? ?? ???? ???? ??? "?? ??"? ???? ???? ??? ????? ???? ????? ?? ???? ????.

??????? ???? ?? ????? ??? ??? ??????

• ??????? ??? ? ?? ??? ???? ???????.
• ??????? ?????? ?? ??? ???? ???? ????.
• ???? ?? ??? ???? ?? ???? ???? ??????? ???? ????.

???? ?? ????? ??? ??????

• ??? ??? ?? ??? ?? ? ??? ?? ?? ?? ???? ??? ? ????.

???? ?? ????? ?? Fortify ??? ??? ? ? ????

• ???? ??: Fortify ?? ??? ???? ???? ?? ?? ??? ?????.
• QA ? ??? ???? ??: Fortify ???? ???? ??????? ???? ?? ??? ?????.
• ?? ?? ??: Fortify ????? ??? Java ? .NET ???? ?? ??? ?????.

---

A9: ??? ???? ?? ?? ?? ??

??? ??? ?? ?? ?? ?? ?????? ?????? ??????? ???? ??? ???? ??? ? ??? ? ????. ?? ?? ?? ??? ?? ???? ??? ??? ?? ??? ???? ?? ?? ?? ???? ???? ???? ???? ??? ?? ????. ????? ??? ?? ??? ???? ??? ?? ? ??? ?? ??? ?????, ???? ?????? ???? ?? ?? ??? ????? ?????.

??????? ?? ?? ?? ?? ????? ? ?????? ??? ??? ??????

• ?? ???(?: ?? ??)??? ???(?: ???? ????)? ? ????.
• ?????? ?? ??? ???? ???? ??? ?? ??? ?????( ???? ?? ? ??).
• ?? ?? ?? ??? ????? ???? ???? ????.
• ??? ? ?? ?? ?? ???? ?? ??? ?? ???.

??? ???? ?? ????? ???? ?? ??? ????

??? ??? ? ??? ??? ??? ????, ????? ? ???? ?? ??? ??? ?? ??? ?? ?? ??? ??? ???? ???? ? ??????. ??? ?? ???? ?? ????? ???? ??? ?? ???? ?? ??? ???? ???? ???? ??? ??? ? ????.

Fortify ???? ??? ?? ??? ? ? ????

• ???? ??: Fortify ???? ??? ?? ????? ?? ?? ??? ?????.
• QA ? ??? ???? ??: Fortify ??? ? ??? ???? ?? ?? ??? ??? ??????.
• ???? ?? ??: Fortify Java ? .NET ?????? ?? ??? ?? ?? ? ?? ??? ?????.

---

A10: ???? ?? ? ????

???? ?? ? ???? ??? ?? ??? ??????? ??? ??? ? ???? ???? ?? ??? ?? ???? ?? ??? ??? ?? ? ??? ? ????. ?? ??? ?? ??? ???, ?????? ?? ??? ??? ???? ??? ??? ???? ??? ??? ???? ? ??? ?? ??? ???? ?? ??? ?? ?? ?????. ???? ????? ???? ???? ??? ?? 200? ??? ??? ?? ???? ???? ??? ???? ??? ?????.

??????? ???? ?? ? ????? ??? ??? ??????

• ?? ? ??? ?? ???? ??? ?????? ???? ???? ?????.
• ??? ?? ?? ?? ??? ????? ?????? ????.
• ?? ??? ? ?? ????? ?????? ??? ??? ??? ????.

???? ?? ? ????? ??? ??? ??????

???? ???? ??? ??? ???? ?????. ??? ???? ?? ???? ?? ?? ???? ??? ? ????. ???? ???? ???? ??????? ?? ??? ????? ???? ???? ?? ???? ?? ?? ?? ???? ???? ??? ? ????. ??? ??? ??? ???? ????? ???? ??? ??? ??? ?? ??? ??? ?? ? ?? ??? ?? ????. ???? ?? ??? ?? ??? ?? ??? ??? ??? ???? ?? ? ?????? ????? ? ????.

???? ?? ? ????? ?? Fortify ?? ??? ?? ? ????

• ???? ??: Fortify ?????? ? API? ?? ??? ???? ??? ?????.
• QA ? ???? ?? ??: Fortify ?? ??? ? ???? ?? ??? ??? ?? ?????? ??? ?????.
• ???? ?? ??: Fortify Java ? .NET ??????? ?? ?? ?? ? ?? ??? ?????.

---

OWASP(2021)? ??? ??? ??????

2017? ??? ? 10? ??? ?? 4?? ????, ??? ?? ???? ?? ??? ??? ??? ??? ???? ??? ??? ???? ?? ?? ???? ?????.

? ?? ??? ????? ???????:

A04:2021

???? ?? ???: ? ??? ?? ??? ??? ???. ???? ???? ????? ?? ?????? ???? ???? ?? ??? ? ????? ?????.

A08:2021

????? ? ??? ??? ??: ????? ????, ?? ??? ? CI/CD ?????? ??? ?? ? ?? ???? ???? ?? ??? ??? ????. ???? A08:2017 - ???? ?? ????? ?????.

A10:2021

?? ? ?? ??(SSRF): ? ????? ???? ?????? ??? ?? 10? ?? ?????. ?? ??? ?? ???? ??? ??? ? ???? ??????.

?? ?? ??

?? ????? ??? ?????? ??? ?????? ?? ????? ???????:

• A01:2017 - ??? A:03?? ?? ???????.
• A02:2017 - ?? ??? ?? ?? ? ?? ??? ??? ???? A07? ??????.
• A03:2017 - ??? ??? ??? ??? ??? ?? ??? ?? ???? ???? ?? ??? ??? ??? ??? A02? ?? ???????.
• A05:2017 - ???? ??????? 94%? ?? ???? ??? ??? ??? ??? ??? ???? ??? ??? ??? ??? A01? ??????.
• A06:2017 - ?? ?? ??? A05? ? ?? ?? ???????.
• A07:2017 - ??? ??? ????(XSS)? A03 ????? ???????.
• A09:2017 - ??? ???? ?? ?? ?? ??? A06?? ?? ?????? ???? ??? ?? ??? ??? ???????. ? ??? ?????? ? ??? 2??? ??? ?? ? ??? ?????.
• A10:2017 - ???? ?? ? ????? A09? ?????, ?? ?? ?? ? ???? ???? ????.

Fortify ? ??? ?? ??? ? ? ??? ?? ?????? ?????