OWASP Top 10:2025 - Главные угрозы веб-безопасности

🚫

CRITICAL

A01:2025 — Broken Access Control

Нарушение контроля доступа. Пользователи могут выполнять действия, на которые у них нет прав.

# ПРИМЕР УЯЗВИМОСТИ:

Пользователь меняет user_id=123 на user_id=124 в URL и получает доступ к чужому профилю (IDOR).

VULNERABLE (IDOR) - PyGoat

# PyGoat: Broken Access Control (A1:2021)
# Lab: introduction/views.py - a1_broken_access_lab2
def a1_broken_access_lab2(request):
    if request.user.is_authenticated:
        # ОШИБКА: Любой авторизованный пользователь может увидеть админку
        return render(request, 'Lab/BrokenAccess/ba_lab.html', 
                      {"log": "Welcome Admin"})
    else:
        return redirect('login')

# Уязвимость: Нет проверки прав доступа (is_admin)
# Атака: Обычный пользователь получает доступ к админке

SECURE (Access Check)

# РЕШЕНИЕ: Проверка прав доступа
from django.contrib.auth.decorators import user_passes_test

def is_admin(user):
    return user.groups.filter(name='Admin').exists()

@user_passes_test(is_admin)
def admin_panel(request):
    # ПРАВИЛЬНО: Только пользователи с ролью Admin
    return render(request, 'admin/panel.html')

# ИЛИ: Проверка в коде
def admin_panel(request):
    if not request.user.groups.filter(name='Admin').exists():
        return HttpResponseForbidden("Access Denied")
    return render(request, 'admin/panel.html')

⚙️

HIGH

A02:2025 — Security Misconfiguration

Ошибки конфигурации безопасности. Дефолтные пароли, открытый debug mode, лишние права доступа.

# ПРИМЕР УЯЗВИМОСТИ:

DEBUG=True на продакшене показывает стектрейсы с деталями реализации.

VULNERABLE (X-Host Header) - PyGoat

# PyGoat: Security Misconfiguration (A2:2021)
# Lab: introduction/views.py - sec_mis_lab
def secret(request):
    # ОШИБКА: Доверие к заголовку X-Host без проверки
    XHost = request.headers.get('X-Host', 'None')
    if(XHost == 'admin.localhost:8000'):
        return render(request, "Lab/sec_mis/sec_mis_lab.html", 
                      {"secret": "S3CR37K3Y"})
    else:
        return render(request, "Lab/sec_mis/sec_mis_lab.html", 
                      {"no_secret": "Only admin.localhost:8000 can access"})

# Уязвимость: HTTP Header Injection
# Атака: Злоумышленник подделывает X-Host: admin.localhost:8000

SECURE (Host Validation)

# РЕШЕНИЕ: Проверка доверенных заголовков
from django.http import HttpRequest

def secure_secret(request: HttpRequest):
    # ПРАВИЛЬНО: Используем request.get_host() вместо заголовков
    allowed_hosts = ['admin.localhost:8000', 'localhost:8000']
    host = request.get_host()
    
    if host not in allowed_hosts:
        return HttpResponseForbidden("Access Denied")
    
    # ИЛИ: Middleware для проверки заголовков
    # В settings.py:
    # SECURE_PROXY_SSL_HEADER = ('HTTP_X_FORWARDED_PROTO', 'https')
    # USE_X_FORWARDED_HOST = True
    
    return render(request, "secure/secret.html", 
                  {"secret": "S3CR37K3Y"})

📦

CRITICAL

A03:2025 — Software Supply Chain Failures

Уязвимости в цепочке поставок ПО. Использование библиотек с известными уязвимостями или из недоверенных источников.

# ПРИМЕР УЯЗВИМОСТИ:

Использование старой версии библиотеки с CVE (например, Log4j, requests, django).

VULNERABLE (Old Libs)

# requirements.txt
Django==1.8.1  # ОПАСНО: Версия 2015 года!
requests==2.0.0
# Содержит десятки известных CVE

SECURE (Auto-Updates)

# requirements.txt
Django>=4.2.0  # ПРАВИЛЬНО: LTS версия + патчи
requests>=2.31.0
# Использовать: pip-audit или safety

🔐

CRITICAL

A04:2025 — Cryptographic Failures

Сбои криптографии. Слабая защита конфиденциальных данных, устаревшие алгоритмы (MD5, SHA1).

# ПРИМЕР УЯЗВИМОСТИ:

Пароли хранятся в открытом виде или хэшируются слабым алгоритмом.

VULNERABLE (Plaintext)

# PyGoat: Сохранение без хэша
def register(request):
    passw = request.POST['password']
    # КРИТИЧНО: Пароль в открытом виде
    User.objects.create(password=passw)

SECURE (PBKDF2/Argon2)

from django.contrib.auth.hashers import make_password

# РЕШЕНИЕ: Хэширование с солью
def register(request):
    passw = request.POST['password']
    # ПРАВИЛЬНО: Хэш нельзя расшифровать
    safe_pass = make_password(passw)
    User.objects.create(password=safe_pass)

💉

CRITICAL

A05:2025 — Injection

Инъекции. Внедрение вредоносных команд в интерпретатор (SQL, XSS, Command Injection).

# ПРИМЕР УЯЗВИМОСТИ:

Ввод: ' OR 1=1 -- позволяет войти без пароля (SQL Injection).

VULNERABLE (SQL Injection) - PyGoat

# PyGoat: SQL Injection (A3:2021)
# Lab: introduction/views.py - sql_lab, injection_sql_lab
def sql_lab(request):
    name = request.POST.get('name')
    password = request.POST.get('pass')
    
    # ОПАСНО: Конкатенация строк - SQL Injection!
    sql_query = "SELECT * FROM introduction_login WHERE user='" + name + "' AND password='" + password + "'"
    print(sql_query)
    
    try:
        val = login.objects.raw(sql_query)
        user = val[0].user
        return render(request, 'Lab/SQL/sql_lab.html', {"user1": user})
    except:
        return render(request, 'Lab/SQL/sql_lab.html', {"sql_error": sql_query})

# Атака: name=' OR 1=1 --
# SQL: SELECT * FROM introduction_login WHERE user='' OR 1=1 --' AND password='...'

SECURE (Parameterized Query)

# РЕШЕНИЕ: Параметризированные запросы
def sql_lab_secure(request):
    name = request.POST.get('name')
    password = request.POST.get('pass')
    
    # ПРАВИЛЬНО: Используем параметризацию Django ORM
    from django.contrib.auth import authenticate
    user = authenticate(request, username=name, password=password)
    
    if user is not None:
        return render(request, 'Lab/SQL/sql_lab.html', {"user1": user.username})
    else:
        return render(request, 'Lab/SQL/sql_lab.html', {"error": "Invalid credentials"})

# ИЛИ для raw queries:
# cursor.execute("SELECT * FROM users WHERE name=%s AND password=%s", [name, password])
# ИЛИ: User.objects.filter(username=name, password=password)

🏗️

HIGH

A06:2025 — Insecure Design

Небезопасный дизайн. Проблемы, заложенные на этапе проектирования системы.

# АРХИТЕКТУРНЫЙ АНАЛИЗ:

Восстановление пароля только через "секретный вопрос" (ответ легко найти в соцсетях).

VULNERABLE (Logic)

# PyGoat: Отрицательное кол-во
def buy(request):
    qty = int(request.POST['qty'])
    # ОШИБКА: qty может быть -100
    total = price * qty
    user.balance -= total

SECURE (Validation)

# РЕШЕНИЕ: Валидация входных данных
def buy(request):
    qty = int(request.POST['qty'])
    if qty <= 0:
        return "Недопустимое количество"
    # ПРАВИЛЬНО: Проверка лимитов и типов
    process_payment(qty)

🆔

HIGH

A07:2025 — Authentication Failures

Сбои аутентификации. Слабые пароли, отсутствие защиты от brute force, неправильная работа сессий.

# СЦЕНАРИЙ АТАКИ:

Сайт позволяет пробовать пароли бесконечно без блокировки или капчи.

VULNERABLE (Hardcoded)

# PyGoat: Простой пароль
def login(request):
    # ОШИБКА: Нет защиты от brute-force
    if user.password == "123456":
         return "Welcome!"

SECURE (MFA/Policy)

# РЕШЕНИЕ: Сложные пароли + 2FA
AUTH_PASSWORD_VALIDATORS = [...] # Django
# ПРАВИЛЬНО: Блокировка после 5 попыток
# Использовать: django-axes

🛡️

CRITICAL

A08:2025 — Software or Data Integrity Failures

Сбои целостности ПО или данных. Код или данные изменяются без проверки подлинности.

# ПРИМЕР УЯЗВИМОСТИ:

Обновление плагина скачивается по HTTP без цифровой подписи.

VULNERABLE (Insecure Deserialization) - PyGoat

# PyGoat: Insecure Deserialization (A8:2021)
# Lab: introduction/views.py - insec_des_lab
import pickle
import base64

class TestUser:
    admin: int = 0

pickled_user = pickle.dumps(TestUser())
encoded_user = base64.b64encode(pickled_user)

def insec_des_lab(request):
    response = render(request, 'Lab/insec_des/insec_des_lab.html', 
                      {"message": "Only Admins can see this page"})
    token = request.COOKIES.get('token')
    
    if token == None:
        token = encoded_user
        response.set_cookie(key='token', value=token.decode('utf-8'))
    else:
        # ОПАСНО: Десериализация данных из cookie!
        token = base64.b64decode(token)
        admin = pickle.loads(token)  # RCE уязвимость!
        
        if admin.admin == 1:
            return render(request, 'Lab/insec_des/insec_des_lab.html', 
                          {"message": "Welcome Admin, SECRETKEY:ADMIN123"})
    
    return response

# Атака: Злоумышленник создаёт pickle с admin=1 и отправляет в cookie

SECURE (Signed Data)

# РЕШЕНИЕ: Использовать подписанные данные (JSON)
from django.core.signing import Signer
import json

signer = Signer()

def insec_des_secure(request):
    response = render(request, 'Lab/insec_des/insec_des_lab.html', 
                      {"message": "Only Admins can see this page"})
    token = request.COOKIES.get('token')
    
    if token == None:
        # Создаём подписанные данные
        data = {"admin": 0, "user": "guest"}
        signed_data = signer.sign(json.dumps(data))
        response.set_cookie(key='token', value=signed_data)
    else:
        try:
            # ПРАВИЛЬНО: Проверка подписи перед десериализацией
            unsigned_data = signer.unsign(token)
            data = json.loads(unsigned_data)
            
            if data.get('admin') == 1:
                return render(request, 'Lab/insec_des/insec_des_lab.html', 
                              {"message": "Welcome Admin"})
        except:
            # Подпись недействительна
            return HttpResponseForbidden("Invalid token")
    
    return response

# ИСПОЛЬЗУЙТЕ: JSON + цифровая подпись вместо pickle

📝

MEDIUM

A09:2025 — Security Logging and Alerting Failures

Сбои логирования и оповещения. Атака происходит, но никто не видит — нет логов критических событий.

# СЦЕНАРИЙ АТАКИ:

Хакеры сканируют сайт 3 дня, но админ узнает об этом только когда сайт упал.

VULNERABLE (No Logging) - PyGoat

# PyGoat: Insufficient Logging (A9:2021)
# Lab: introduction/views.py - a10_lab2 (без логирования)
def a10_lab(request):
    if request.method == "GET":
        return render(request, "Lab/A10/a10_lab.html")
    else:
        user = request.POST.get("name")
        password = request.POST.get("pass")
        
        # ОШИБКА: Нет логирования попыток входа!
        if login.objects.filter(user=user, password=password):
            return render(request, "Lab/A10/a10_lab.html", {"name": user})
        else:
            # Тихая ошибка - злоумышленник может перебирать пароли
            return render(request, "Lab/A10/a10_lab.html", {"error": "Wrong credentials"})

# Уязвимость: Нет аудита безопасности
# Атака: Brute-force без уведомления админа

SECURE (Audit Logging)

# РЕШЕНИЕ: Полное логирование событий безопасности
import logging
import datetime

logger = logging.getLogger('security')

def a10_lab_secure(request):
    now = datetime.datetime.now()
    
    if request.method == "GET":
        # Получаем IP адрес
        x_forwarded_for = request.META.get('HTTP_X_FORWARDED_FOR')
        ip = x_forwarded_for.split(',')[0] if x_forwarded_for else request.META.get('REMOTE_ADDR')
        logging.info(f"{now}:{ip}")
        return render(request, "Lab/A10/a10_lab.html")
    else:
        user = request.POST.get("name")
        password = request.POST.get("pass")
        
        x_forwarded_for = request.META.get('HTTP_X_FORWARDED_FOR')
        ip = x_forwarded_for.split(',')[0] if x_forwarded_for else request.META.get('REMOTE_ADDR')
        
        if login.objects.filter(user=user, password=password):
            # ПРАВИЛЬНО: Логирование успешного входа
            logging.info(f"{now}:{ip}:{user} - LOGIN SUCCESS")
            
            # Предупреждение о входе с незнакомого IP
            if ip != '127.0.0.1':
                logging.warning(f"{now}:{ip}:{user} - LOGIN FROM UNKNOWN IP")
            
            return render(request, "Lab/A10/a10_lab.html", {"name": user})
        else:
            # ПРАВИЛЬНО: Логирование неудачной попытки
            logging.warning(f"{now}:{ip}:{user} - LOGIN FAILED")
            return render(request, "Lab/A10/a10_lab.html", {"error": "Wrong credentials"})

# ИСПОЛЬЗУЙТЕ: SIEM системы для мониторинга (Splunk, ELK)

⚠️

MEDIUM

A10:2025 — Mishandling of Exceptional Conditions

Неправильная обработка исключительных условий. Ошибки валидации, некорректная обработка граничных случаев.

# ПРИМЕР УЯЗВИМОСТИ:

Деление на ноль, переполнение буфера, обработка null/undefined без проверки.

VULNERABLE (No Validation)

# ОШИБКА: Нет проверки деления
def calculate_discount(price, discount):
    # discount может быть 0 или отрицательным!
    final = price - (price / discount)
    return final

SECURE (Edge Cases)

# РЕШЕНИЕ: Проверка граничных значений
def calculate_discount(price, discount):
    if discount <= 0 or discount > 100:
        raise ValueError("Invalid discount")
    if price < 0:
        raise ValueError("Invalid price")
    final = price - (price / discount)
    return final

Угрозы безопасности веб-приложений

A01:2025 — Broken Access Control

# ПРИМЕР УЯЗВИМОСТИ:

A02:2025 — Security Misconfiguration

# ПРИМЕР УЯЗВИМОСТИ:

A03:2025 — Software Supply Chain Failures

# ПРИМЕР УЯЗВИМОСТИ:

A04:2025 — Cryptographic Failures

# ПРИМЕР УЯЗВИМОСТИ:

A05:2025 — Injection

# ПРИМЕР УЯЗВИМОСТИ:

A06:2025 — Insecure Design

# АРХИТЕКТУРНЫЙ АНАЛИЗ:

A07:2025 — Authentication Failures

# СЦЕНАРИЙ АТАКИ:

A08:2025 — Software or Data Integrity Failures

# ПРИМЕР УЯЗВИМОСТИ:

A09:2025 — Security Logging and Alerting Failures

# СЦЕНАРИЙ АТАКИ:

A10:2025 — Mishandling of Exceptional Conditions

# ПРИМЕР УЯЗВИМОСТИ: