यह दस्तावेज़ OWASP के हर अटैक (www-community) और हर Cheat Sheet (CheatSheetSeries) को किसी सुरक्षा श्रेणी से जोड़ता है, और हर एक को उसके आधिकारिक सार्वजनिक पेज से लिंक करता है। एक श्रेणी के भीतर, बराबर के आइटम चेकलिस्ट की एक ही लाइन में आते हैं: एक ही जोखिम से जुड़े अटैक और Cheat Sheet कॉमा से अलग करके साथ-साथ लिखे जाते हैं। जिन आइटम का कोई सीधा जोड़ीदार नहीं है, वे अपनी अलग लाइन में हैं।
- इसका श्रेय OWASP को जाता है। अटैक
https://owasp.org/www-community/attacks/<attack>पर और Cheat Sheethttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.htmlपर मिलती हैं।
1. इंजेक्शन (सामान्य)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. SQL / डेटाबेस इंजेक्शन
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. OS / कमांड इंजेक्शन
- Command Injection, OS Command Injection Defense (interpreter)
4. LDAP / XPath / XML इंजेक्शन
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. क्रॉस-साइट स्क्रिप्टिंग (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. क्रॉस-साइट रिक्वेस्ट फ़ोर्जरी (CSRF) और क्लिकजैकिंग
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. रीडायरेक्ट और फ़ॉरवर्ड
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. एक्सेस कंट्रोल और ऑथराइज़ेशन
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. ऑथेंटिकेशन और क्रेडेंशियल
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. सेशन मैनेजमेंट
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. आइडेंटिटी फ़ेडरेशन (OAuth / SAML / JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. क्रिप्टोग्राफ़ी और ट्रांसपोर्ट सुरक्षा
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. सर्वर-साइड रिक्वेस्ट फ़ोर्जरी (SSRF)
14. पाथ ट्रैवर्सल और फ़ाइल हैंडलिंग
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. HTTP प्रोटोकॉल का दुरुपयोग (हेडर, कैशिंग, स्प्लिटिंग)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (browser, transport, http-request और access-control में बँटा हुआ)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. एन्कोडिंग और कंटेंट स्पूफ़िंग
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. CSV / स्प्रेडशीट इंजेक्शन
- CSV Injection (csv)
18. CORS (क्रॉस-ओरिजिन रिसोर्स शेयरिंग)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. डिनायल ऑफ़ सर्विस
20. मेमोरी सेफ़्टी और नेटिव कोड
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. मोबाइल कोड और अविश्वसनीय कोड का एक्ज़ीक्यूशन
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. डीसीरियलाइज़ेशन
- Deserialization (python, ruby, php, java और dotnet में बँटा हुआ)
23. मैलवेयर और क्लाइंट-साइड ख़तरे
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. लॉगिंग, रेप्युडिएशन और एरर हैंडलिंग
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. बिज़नेस लॉजिक और फ़ंक्शनैलिटी का दुरुपयोग
बिज़नेस लॉजिक और फ़ंक्शनैलिटी के दुरुपयोग का कोड में कोई एक अटैक सरफ़ेस नहीं होता, जिसका बचाव किसी एक सरफ़ेस पर केंद्रित विशेषज्ञता कर सके: इसका बचाव ऐप्लिकेशन के हिसाब से किया गया डिज़ाइन है, यानी वही सोच जिसे प्रोजेक्ट की थ्रेट मॉडलिंग आगे बढ़ाती है। इसे "दायरे से बाहर" में ले जाया गया है।
26. AI / LLM / एजेंट सुरक्षा
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. प्रोटोटाइप पॉल्यूशन और क्रॉस-साइट लीक
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. फ़्रेमवर्क और भाषा प्लेटफ़ॉर्म
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. वेब फ़्रंट-एंड और ब्राउज़र
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (access-control और browser में बँटा हुआ)
30. API और सर्विस
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. क्लाउड, कंटेनर और इन्फ़्रास्ट्रक्चर
कंटेनर और वर्कलोड का कॉन्फ़िगरेशन कोड के रूप में लिखा कॉन्फ़िगरेशन है, जिसे डेवलपर ऐप के साथ ही शिप करता है (Dockerfile, Compose, Pod का securityContext)। यह एक असली सरफ़ेस है, जिसे harden चरण ठीक करता है और verify चरण साबित करता है, इसलिए यह दायरे में है। क्लस्टर एडमिनिस्ट्रेशन (RBAC, etcd, API सर्वर, एडमिशन, नेटवर्क सेगमेंटेशन) ऑपरेटर का क्षेत्र है, और दायरे से बाहर रहता है।
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: वर्कलोड और Pod वाला हिस्सा। क्लस्टर एडमिनिस्ट्रेशन दायरे से बाहर रहता है)
- Serverless / FaaS Security (serverless)
32. सप्लाई चेन और CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. सीक्रेट और कॉन्फ़िगरेशन
सीक्रेट मैनेजमेंट ऑपरेशन से जुड़ा काम है: वॉल्ट, CI/CD, क्लाउड कॉन्फ़िगरेशन, रोटेशन। इसका कोड से जुड़ा इकलौता पहलू (सोर्स कोड में हार्डकोड किया गया सीक्रेट) एक नियतात्मक स्कैन का काम है, जोखिम पर केंद्रित किसी विशेषज्ञता का नहीं। इसे "दायरे से बाहर" में ले जाया गया है।
34. प्रोसेस, डिज़ाइन और गवर्नेंस
यूज़र की प्राइवेसी की सुरक्षा नीति और डिज़ाइन का मामला है (डेटा मिनिमाइज़ेशन, पारदर्शिता, डेटा रखने की अवधि), कोड का ऐसा कोई सरफ़ेस नहीं जिसका बचाव कोई विशेषज्ञता करे। इसे "दायरे से बाहर" में ले जाया गया है।
35. पेमेंट और कंप्लायंस
36. एम्बेडेड / IoT / विशेष क्षेत्र
ऑटोमोटिव और ड्रोन सुरक्षा एम्बेडेड सिस्टम के क्षेत्र हैं (CAN बस, OTA फ़र्मवेयर, सेंसर और रेडियो की अखंडता, फ़िज़िकल एक्सेस), न कि वेब या API ऐप्लिकेशन का वह सोर्स कोड जिसका Lagune ऑडिट करता है। इसे "दायरे से बाहर" में ले जाया गया है।
दायरे से बाहर (कोड में कोई सरफ़ेस नहीं)
ये विशेषज्ञताओं के क्षेत्र नहीं हैं, इसलिए इनके साथ कोई चेकबॉक्स नहीं है: ये गवर्नेंस, प्रोसेस, ऑपरेशन से जुड़ी हार्डनिंग या फ़्रेमवर्क के इस्तेमाल के मामले हैं, जिनका कोड में कोई एक सरफ़ेस नहीं होता जिसका बचाव किसी एक सरफ़ेस पर केंद्रित विशेषज्ञता कर सके। सुरक्षा के लिहाज़ से इनकी अहमियत असली है, लेकिन वह प्रोसेस और आर्किटेक्चर में है (या किसी फ़्रेमवर्क के मामले में, उस भाषा की अपनी स्किल में), उस रक्षा में नहीं जो यह कैटलॉग देता है। ये सिर्फ़ संदर्भ के लिए दिए गए हैं, करने वाले काम के रूप में नहीं।
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (SOAP/WS-Addressing एम्प्लिफ़िकेशन, DoS का ऑपरेशन से जुड़ा एक रूप, जिसका कोड में कोई सरफ़ेस नहीं)
- Cash Overflow
- Spyware, Trojan Horse (एंड-यूज़र को निशाना बनाने वाला मैलवेयर, ऑडिट किए जा रहे प्रोजेक्ट के कोड का कोई सरफ़ेस नहीं। ब्राउज़र के अंदर पहुँचाए जाने वाला पहलू
browserमें है) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (डिज़ाइन और उसके समझौते: IAM बनाम साइन किए गए URL, पब्लिक या प्राइवेट VPC, ट्रस्ट बाउंड्री, शेयर्ड रिस्पॉन्सिबिलिटी।
containerके उलट, इसमें कोई ठोस कॉन्फ़िगरेशन नहीं है जिसे कोई विशेषज्ञता जाँच सके) - Infrastructure as Code Security (नाम के बावजूद, यह IaC को मैनेज करने के लिए SDLC प्रोसेस और टूलिंग के बारे में है: IDE प्लगइन, स्टैटिक एनालिसिस, इमेज स्कैनिंग, CI/CD, साइनिंग। यह Terraform या CloudFormation फ़ाइल में किसी असुरक्षित पैटर्न को सुरक्षित रूप में बदलने का तरीक़ा नहीं बताता)
- Kubernetes Security (सिर्फ़ क्लस्टर एडमिनिस्ट्रेशन वाला हिस्सा: RBAC, etcd, API सर्वर, एडमिशन। वर्कलोड और Pod वाला हिस्सा
containerके तहत दायरे में है) - Network Segmentation (नेटवर्क आर्किटेक्चर और फ़ायरवॉल नीति)
- Subdomain Takeover Prevention (DNS लाइफ़साइकिल और मॉनिटरिंग, कोड नहीं)
- Secrets Management (वॉल्ट, CI/CD, रोटेशन। हार्डकोड किए गए सीक्रेट वाला पहलू एक नियतात्मक स्कैन का काम है, जोखिम पर केंद्रित किसी विशेषज्ञता का नहीं)
- C-Based Toolchain Hardening (कंपाइलर, लिंकर और बिल्ड फ़्लैग, जिनका सोर्स कोड में कोई सिंक नहीं)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (हर स्टैक के लिए ग्लोबल एरर-हैंडलर का कॉन्फ़िगरेशन। यह लीक वही जानकारी उजागर होना है जिसे एरर हैंडलिंग पहले से सँभालती है)
- Abuse of Functionality, Business Logic Security, Abuse Case (ऐतिहासिक) (ऐप्लिकेशन के हिसाब से किया गया डिज़ाइन, कोड में कोई एक सिंक नहीं)
- User Privacy Protection (डेटा मिनिमाइज़ेशन, पारदर्शिता, डेटा रखने की नीति)
- Top 10 Automotive Security Vulnerabilities, Drone Security (एम्बेडेड सिस्टम के क्षेत्र: CAN बस, OTA फ़र्मवेयर, सेंसर और रेडियो की अखंडता, वेब या API का सोर्स कोड नहीं)
- Mobile Application Security (Android और iOS प्लेटफ़ॉर्म की हार्डनिंग: स्टोरेज, बायोमेट्रिक्स, पिनिंग, PII। इसका कोड में कोई एक सरफ़ेस नहीं है, और अविश्वसनीय कोड लोड करने वाला पहलू
interpreterमें चला गया) - Threat Modeling, Threat Modeling (कम्युनिटी पेज)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology