程序员服装安全 OWASP 十大 API 系列-大规格模任务业务
大规格模分配漏之所以，这是因为许多现代的方框鼓鼓鼓鼓鼓起开发人员使用自动将来自客户端的输入绑定到代码变量和内部对象的函数。这样做是为了简化代码和加快操作制作而成。
攻击者可以使用这种方法法强制改永远不该由客户端更新新的对象属性。通常，这会导致特定业务的问题，例如用户向自己的添加管理人员权限限制，而不是关闭网站或取消公司机密信息。攻击者还必须与他们正处于利用的应用程序的业务逻辑之下的关系所在。
但的确，这些都不会降低低大规格模组在聪明而恶意的用户手中的危险。
在我们发布完整指南之前，先玩一下我们的游戏化之战，看看你的表演如何：
攻击者如何利用批量分配漏洞？
OWASP 提示的场景（并由我们稍后工作修改）假设一个使用批量赋值绑定值绑定到代代中码对象的不同同属性，该应用程序包包含绑定到代码中对象的不同同属性，该应用程序包含绑定到代码中对象的不同同属性。其中包括：用户可以更新的权限限制相关属性的权限以及只允许应用程序内部设置的流程相关属性。两者都使用批量赋值将属性的绑定到对对象。
在这种情况下，车载应用程序允许用户更新自己的个人资料，这在许多面向用户的应用程序中很常见。这是使用发送 API 调用完成后，该调用返回以下 JSON 对对象：
{“名称”: “SneakySnake”，“年龄”: 17，“is_admin”: false}
由于攻击者，本例中为 SneakySnake 先生，已重启了其属性和对象之间的关系，因而他可以使用以下重发发送更新的个人资料的原因所在：
{“名称”: “SneakySnake”，“年龄”: 24，，“is_admin”: true}
由于端点容我受到了批量分配的影响，因为它接收到新输入为有效输入。我们的黑客不只是在他的个人资料中增添了几年，而且而且还为自己配了管理人员权限的极限。
消除批量分配漏洞
尽量管在某些框架架构中使用批量分配 FUNCTURNAMUCABLE 可能很方便，但你想保持 API 的安全，则应避免这样做。相反，解析请求值，而不是将它们直接绑定到对对象。您还可以使用简化的数据传输对象，该对象提供的便利性与直接接入绑定到对比本身几乎是相似的，只是没有相关性。
作为额外的预防措施，绝对可以拒绝诸如上例中的管理者权利限制之类的敏感属性，这样的服务器将永远不会在 API 调用中接受。更好主意可能是在默认情况下拒绝所有属性，然后允许你希望的用户能够更新新或更改进特定、非敏感的属性。做这些任何事情，都有助手锁定 API 并消除环境中的大规模。
来看看 安全代码勇士 博客页面，详细了解此漏洞，以及如何保护您的和客户免受其他安全漏洞的破坏损坏。你也可以 试试演示提示 Secure Code Warrior 培训平台可让您的所有网络安全技能不间断地进行练习并保持最新状态。
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
大规格模分配漏之所以，这是因为许多现代的方框鼓鼓鼓鼓鼓起开发人员使用自动将来自客户端的输入绑定到代码变量和内部对象的函数。这样做是为了简化代码和加快操作制作而成。
攻击者可以使用这种方法法强制改永远不该由客户端更新新的对象属性。通常，这会导致特定业务的问题，例如用户向自己的添加管理人员权限限制，而不是关闭网站或取消公司机密信息。攻击者还必须与他们正处于利用的应用程序的业务逻辑之下的关系所在。
但的确，这些都不会降低低大规格模组在聪明而恶意的用户手中的危险。
在我们发布完整指南之前，先玩一下我们的游戏化之战，看看你的表演如何：
攻击者如何利用批量分配漏洞？
OWASP 提示的场景（并由我们稍后工作修改）假设一个使用批量赋值绑定值绑定到代代中码对象的不同同属性，该应用程序包包含绑定到代码中对象的不同同属性，该应用程序包含绑定到代码中对象的不同同属性。其中包括：用户可以更新的权限限制相关属性的权限以及只允许应用程序内部设置的流程相关属性。两者都使用批量赋值将属性的绑定到对对象。
在这种情况下，车载应用程序允许用户更新自己的个人资料，这在许多面向用户的应用程序中很常见。这是使用发送 API 调用完成后，该调用返回以下 JSON 对对象：
{“名称”: “SneakySnake”，“年龄”: 17，“is_admin”: false}
由于攻击者，本例中为 SneakySnake 先生，已重启了其属性和对象之间的关系，因而他可以使用以下重发发送更新的个人资料的原因所在：
{“名称”: “SneakySnake”，“年龄”: 24，，“is_admin”: true}
由于端点容我受到了批量分配的影响，因为它接收到新输入为有效输入。我们的黑客不只是在他的个人资料中增添了几年，而且而且还为自己配了管理人员权限的极限。
消除批量分配漏洞
尽量管在某些框架架构中使用批量分配 FUNCTURNAMUCABLE 可能很方便，但你想保持 API 的安全，则应避免这样做。相反，解析请求值，而不是将它们直接绑定到对对象。您还可以使用简化的数据传输对象，该对象提供的便利性与直接接入绑定到对比本身几乎是相似的，只是没有相关性。
作为额外的预防措施，绝对可以拒绝诸如上例中的管理者权利限制之类的敏感属性，这样的服务器将永远不会在 API 调用中接受。更好主意可能是在默认情况下拒绝所有属性，然后允许你希望的用户能够更新新或更改进特定、非敏感的属性。做这些任何事情，都有助手锁定 API 并消除环境中的大规模。
来看看 安全代码勇士 博客页面，详细了解此漏洞，以及如何保护您的和客户免受其他安全漏洞的破坏损坏。你也可以 试试演示提示 Secure Code Warrior 培训平台可让您的所有网络安全技能不间断地进行练习并保持最新状态。
大规格模分配漏之所以，这是因为许多现代的方框鼓鼓鼓鼓鼓起开发人员使用自动将来自客户端的输入绑定到代码变量和内部对象的函数。这样做是为了简化代码和加快操作制作而成。
攻击者可以使用这种方法法强制改永远不该由客户端更新新的对象属性。通常，这会导致特定业务的问题，例如用户向自己的添加管理人员权限限制，而不是关闭网站或取消公司机密信息。攻击者还必须与他们正处于利用的应用程序的业务逻辑之下的关系所在。
但的确，这些都不会降低低大规格模组在聪明而恶意的用户手中的危险。
在我们发布完整指南之前，先玩一下我们的游戏化之战，看看你的表演如何：
攻击者如何利用批量分配漏洞？
OWASP 提示的场景（并由我们稍后工作修改）假设一个使用批量赋值绑定值绑定到代代中码对象的不同同属性，该应用程序包包含绑定到代码中对象的不同同属性，该应用程序包含绑定到代码中对象的不同同属性。其中包括：用户可以更新的权限限制相关属性的权限以及只允许应用程序内部设置的流程相关属性。两者都使用批量赋值将属性的绑定到对对象。
在这种情况下，车载应用程序允许用户更新自己的个人资料，这在许多面向用户的应用程序中很常见。这是使用发送 API 调用完成后，该调用返回以下 JSON 对对象：
{“名称”: “SneakySnake”，“年龄”: 17，“is_admin”: false}
由于攻击者，本例中为 SneakySnake 先生，已重启了其属性和对象之间的关系，因而他可以使用以下重发发送更新的个人资料的原因所在：
{“名称”: “SneakySnake”，“年龄”: 24，，“is_admin”: true}
由于端点容我受到了批量分配的影响，因为它接收到新输入为有效输入。我们的黑客不只是在他的个人资料中增添了几年，而且而且还为自己配了管理人员权限的极限。
消除批量分配漏洞
尽量管在某些框架架构中使用批量分配 FUNCTURNAMUCABLE 可能很方便，但你想保持 API 的安全，则应避免这样做。相反，解析请求值，而不是将它们直接绑定到对对象。您还可以使用简化的数据传输对象，该对象提供的便利性与直接接入绑定到对比本身几乎是相似的，只是没有相关性。
作为额外的预防措施，绝对可以拒绝诸如上例中的管理者权利限制之类的敏感属性，这样的服务器将永远不会在 API 调用中接受。更好主意可能是在默认情况下拒绝所有属性，然后允许你希望的用户能够更新新或更改进特定、非敏感的属性。做这些任何事情，都有助手锁定 API 并消除环境中的大规模。
来看看 安全代码勇士 博客页面，详细了解此漏洞，以及如何保护您的和客户免受其他安全漏洞的破坏损坏。你也可以 试试演示提示 Secure Code Warrior 培训平台可让您的所有网络安全技能不间断地进行练习并保持最新状态。
Klicken Sie auf den folgenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenDemo buchen
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Matias ist ein Forscher und Entwickler mit mehr als 15 Jahren praktischer Erfahrung im Bereich der Softwaresicherheit. Er hat Lösungen für Unternehmen wie Fortify Software und sein eigenes Unternehmen Sensei Security entwickelt. Im Laufe seiner Karriere hat Matias mehrere Forschungsprojekte zur Anwendungssicherheit geleitet, die zu kommerziellen Produkten geführt haben, und kann auf über 10 Patente verweisen. Wenn er nicht am Schreibtisch sitzt, ist Matias als Ausbilder für fortgeschrittene Anwendungssicherheitstrainings courses tätig und hält regelmäßig Vorträge auf globalen Konferenzen wie RSA Conference, Black Hat, DefCon, BSIMM, OWASP AppSec und BruCon.
Matias hat einen Doktortitel in Computertechnik von der Universität Gent, wo er die Sicherheit von Anwendungen durch Programmverschleierung untersuchte, um die innere Funktionsweise einer Anwendung zu verbergen.
大规格模分配漏之所以，这是因为许多现代的方框鼓鼓鼓鼓鼓起开发人员使用自动将来自客户端的输入绑定到代码变量和内部对象的函数。这样做是为了简化代码和加快操作制作而成。
攻击者可以使用这种方法法强制改永远不该由客户端更新新的对象属性。通常，这会导致特定业务的问题，例如用户向自己的添加管理人员权限限制，而不是关闭网站或取消公司机密信息。攻击者还必须与他们正处于利用的应用程序的业务逻辑之下的关系所在。
但的确，这些都不会降低低大规格模组在聪明而恶意的用户手中的危险。
在我们发布完整指南之前，先玩一下我们的游戏化之战，看看你的表演如何：
攻击者如何利用批量分配漏洞？
OWASP 提示的场景（并由我们稍后工作修改）假设一个使用批量赋值绑定值绑定到代代中码对象的不同同属性，该应用程序包包含绑定到代码中对象的不同同属性，该应用程序包含绑定到代码中对象的不同同属性。其中包括：用户可以更新的权限限制相关属性的权限以及只允许应用程序内部设置的流程相关属性。两者都使用批量赋值将属性的绑定到对对象。
在这种情况下，车载应用程序允许用户更新自己的个人资料，这在许多面向用户的应用程序中很常见。这是使用发送 API 调用完成后，该调用返回以下 JSON 对对象：
{“名称”: “SneakySnake”，“年龄”: 17，“is_admin”: false}
由于攻击者，本例中为 SneakySnake 先生，已重启了其属性和对象之间的关系，因而他可以使用以下重发发送更新的个人资料的原因所在：
{“名称”: “SneakySnake”，“年龄”: 24，，“is_admin”: true}
由于端点容我受到了批量分配的影响，因为它接收到新输入为有效输入。我们的黑客不只是在他的个人资料中增添了几年，而且而且还为自己配了管理人员权限的极限。
消除批量分配漏洞
尽量管在某些框架架构中使用批量分配 FUNCTURNAMUCABLE 可能很方便，但你想保持 API 的安全，则应避免这样做。相反，解析请求值，而不是将它们直接绑定到对对象。您还可以使用简化的数据传输对象，该对象提供的便利性与直接接入绑定到对比本身几乎是相似的，只是没有相关性。
作为额外的预防措施，绝对可以拒绝诸如上例中的管理者权利限制之类的敏感属性，这样的服务器将永远不会在 API 调用中接受。更好主意可能是在默认情况下拒绝所有属性，然后允许你希望的用户能够更新新或更改进特定、非敏感的属性。做这些任何事情，都有助手锁定 API 并消除环境中的大规模。
来看看 安全代码勇士 博客页面，详细了解此漏洞，以及如何保护您的和客户免受其他安全漏洞的破坏损坏。你也可以 试试演示提示 Secure Code Warrior 培训平台可让您的所有网络安全技能不间断地进行练习并保持最新状态。
Verzeichnis
Matias Madou, Ph.D., ist Sicherheitsexperte, Forscher, CTO und Mitbegründer von Secure Code Warrior. Matias promovierte an der Universität Gent im Bereich Anwendungssicherheit und konzentrierte sich dabei auf statische Analyselösungen. Später wechselte er zu Fortify in den USA, wo er erkannte, dass es nicht ausreicht, nur Codeprobleme zu erkennen, ohne den Entwicklern beim Schreiben von sicherem Code zu helfen. Dies inspirierte ihn dazu, Produkte zu entwickeln, die Entwickler unterstützen, den Aufwand für die Sicherheit verringern und die Erwartungen der Kunden übertreffen. Wenn er nicht an seinem Schreibtisch im Team Awesome sitzt, steht er gerne auf der Bühne und hält Vorträge auf Konferenzen wie der RSA Conference, BlackHat und DefCon.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen下载Ressourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Sicherheitsschulung
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um sich an die sich wandelnde Softwareentwicklungslandschaft anzupassen und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für verschiedene Positionen geeignet, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA-Mitarbeitern. Verschaffen Sie sich einen ersten Überblick nach Themen und Rollen und erfahren Sie, was unser Inhaltsverzeichnis zu bieten hat.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
Cybermon 2025: Der Kampf gegen den Boss hat nun in SCW ganzjährig begonnen. Der Kampf um die Sicherheit von KI/LLM auf Stammesebene, die Entwicklung von Sicherheits-KI wird durch groß angelegte Modelle verstärkt.
Auslegung des Gesetzes zur Netzresilienz: Was bedeutet es, durch die Entwicklung von Design-Software Sicherheit zu erreichen?
Verstehen Sie die Anforderungen des EU-Gesetzes zur Netzresilienz (CRA), für wen es gilt und wie sich Ingenieurteams durch Designpraktiken, Schwachstellenprävention und Kompetenzaufbau für Entwickler darauf vorbereiten können.
Treibende Faktoren 1: Klare und messbare Erfolgskriterien
Enabler 1 ist der Auftakt zu unserer 10-teiligen Reihe über Erfolgsfaktoren. Er zeigt, wie sichere Codierung mit Geschäftsergebnissen wie Risikominderung und schnellerer Reifung langfristiger Pläne in Verbindung gebracht werden kann.
