Наиболее распространенными уязвимостями веб-приложений являются межсайтовый скриптинг (Cross-Site Scripting), утечка информации (Information Leakage), «SQL-вторжение» (SQL Injection) и предсказуемое расположение ресурсов (Predictable Resource Location), согласно статистике, опубликованной группой экспертов Консорциума по безопасности веб-приложений (Web Application Security Consortium). В статистику вошли два набора данных: результаты автоматического тестирования и результаты работ по оценке защищенности с использованием методов BlackBox и WhiteBox («черного и белого ящика»). Статистика содержит данные о более чем 32 000 веб-приложений, в которых было обнаружено около 70 000 уязвимостей различной степени риска. Анализ полученных данных показал, что более 7% всех проанализированных сайтов могут быть скомпрометированы полностью автоматически, а при детальной ручной и автоматизированной оценке методами BlackBox и WhiteBox вероятность обнаружения уязвимости высокой степени риска достигает 96,8%. По словам лидера проекта, руководителя отдела консалтинга и аудита компании Positive Technologies Сергея Гордейчика, ситуация с защищенностью веб-приложений остается достаточно сложной. «Статистика показывает, что детальный анализ позволяет идентифицировать до 9 уязвимостей высокой степени риска на каждом из сайтов», - подчеркнул он. Отметим, что статистика уязвимостей безопасности интернет-сайтов, обнаруженных в 2007 г., составлена на основе данных, которые были получены в результате работ по оценке защищенности веб-приложений, проводимых компаниями Booz Allen Hamilton, BT, Cenzic, dblogic.it, HP Application Security Center, Positive Technologies, Veracode и WhiteHat Security в 2007 г.
Источник