Этот документ относит каждую атаку (www-community) и каждый Cheat Sheet (CheatSheetSeries) от OWASP к категории безопасности, со ссылкой на каноническую публичную страницу. Внутри категории равнозначные пункты делят одну строку чек-листа: атаки и cheat sheets, которые касаются одного и того же риска, перечислены вместе через запятую. Пункты без прямого соответствия стоят на отдельной строке.
- Авторство принадлежит OWASP. Атаки находятся по адресу
https://owasp.org/www-community/attacks/<attack>, а cheat sheets по адресуhttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.
1. Инъекции (общие)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. Инъекции в SQL и базы данных
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. Инъекции команд ОС
- Command Injection, OS Command Injection Defense (interpreter)
4. Инъекции в LDAP, XPath и XML
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Межсайтовый скриптинг (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Межсайтовая подделка запросов (CSRF) и clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. Перенаправления и переадресации
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. Контроль доступа и авторизация
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. Аутентификация и учетные данные
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. Управление сессиями
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. Федерация идентификации (OAuth, SAML, JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. Криптография и безопасность передачи данных
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Подделка запросов на стороне сервера (SSRF)
14. Path traversal и работа с файлами
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. Злоупотребление протоколом HTTP (заголовки, кеширование, splitting)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (разделено между browser, transport, http-request и access-control)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. Кодирование и подмена содержимого
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. Инъекции в CSV и таблицы
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. Отказ в обслуживании
20. Безопасность памяти и нативный код
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. Мобильный код и выполнение недоверенного кода
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. Десериализация
- Deserialization (разделено между python, ruby, php, java и dotnet)
23. Вредоносное ПО и угрозы на стороне клиента
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. Логирование, отказ от авторства и обработка ошибок
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. Бизнес-логика и злоупотребление функциональностью
У бизнес-логики и злоупотребления функциональностью нет единой поверхности в коде, которую защищала бы специализация для отдельной поверхности: защитой служит проектирование под конкретное приложение, то же рассуждение, которым руководит моделирование угроз проекта. Перенесено в раздел "Вне охвата".
26. Безопасность ИИ, LLM и агентов
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Prototype pollution и межсайтовые утечки
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. Фреймворки и языковые платформы
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. Веб-фронтенд и браузер
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (разделено между access-control и browser)
30. API и сервисы
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. Облако, контейнеры и инфраструктура
Конфигурация контейнеров и рабочих нагрузок представляет собой конфигурацию как код, которую разработчик поставляет вместе с приложением (Dockerfile, Compose, securityContext подов), настоящую поверхность, которую исправляет harden и доказывает verify, поэтому она входит в охват. Администрирование кластера (RBAC, etcd, API-сервер, admission, сегментация сети) относится к зоне оператора и остается вне охвата.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: часть о рабочих нагрузках и подах. Администрирование кластера остается вне охвата)
- Serverless / FaaS Security (serverless)
32. Цепочка поставок и CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. Секреты и конфигурация
Управление секретами относится к эксплуатации: хранилища секретов, CI/CD, облачная конфигурация, ротация. Единственный аспект на уровне кода (секрет, жестко заданный в исходном коде) закрывает детерминированное сканирование, а не специализация по рискам. Перенесено в раздел "Вне охвата".
34. Процессы, проектирование и управление
Защита приватности пользователей относится к политике и проектированию (минимизация данных, прозрачность, сроки хранения), а не к поверхности в коде, которую защищает специализация. Перенесено в раздел "Вне охвата".
35. Платежи и соответствие требованиям
36. Встраиваемые системы, IoT и специализированные области
Безопасность автомобилей и дронов относится к области встраиваемых систем (шина CAN, прошивки OTA, целостность датчиков и радиосвязи, физический доступ), а не к исходному коду веб-приложений и API, который проверяет Lagune. Перенесено в раздел "Вне охвата".
Вне охвата (нет поверхности в коде)
Это не территория специализаций, и флажков у них нет: речь об управлении, процессах, эксплуатационном усилении защиты или использовании фреймворков без единой поверхности в коде, которую защищала бы специализация для отдельной поверхности. Их ценность для безопасности реальна, но она заключена в процессах и архитектуре (или, для фреймворка, в собственном навыке этого языка), а не в защите, которую поставляет этот каталог. Они перечислены для справки, а не как задачи.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (усиление через SOAP/WS-Addressing, эксплуатационный вариант DoS без поверхности в коде)
- Cash Overflow
- Spyware, Trojan Horse (вредоносное ПО на устройствах конечных пользователей, а не поверхность в коде проверяемого проекта. Аспект доставки через браузер находится в
browser) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (проектирование и компромиссы: IAM или подписанные URL, публичные и приватные VPC, границы доверия, разделенная ответственность. В отличие от
container, здесь нет конкретной конфигурации, которую проверяет специализация) - Infrastructure as Code Security (несмотря на название, это процессы SDLC и инструменты для управления IaC: плагины IDE, статический анализ, сканирование образов, CI/CD, подписывание. Он не предлагает перехода от небезопасного шаблона к безопасной форме в файле Terraform или CloudFormation)
- Kubernetes Security (только часть об администрировании кластера: RBAC, etcd, API-сервер, admission. Часть о рабочих нагрузках и подах входит в охват в рамках
container) - Network Segmentation (сетевая архитектура и политика межсетевого экрана)
- Subdomain Takeover Prevention (жизненный цикл DNS и мониторинг, а не код)
- Secrets Management (хранилища секретов, CI/CD, ротация. Аспект жестко заданных секретов закрывает детерминированное сканирование, а не специализация по рискам)
- C-Based Toolchain Hardening (флаги компилятора, компоновщика и сборки, без точки уязвимости в исходном коде)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (глобальная настройка обработчика ошибок для каждого стека. Эта утечка относится к тому же раскрытию, которым уже управляет обработка ошибок)
- Abuse of Functionality, Business Logic Security, Abuse Case (исторический) (проектирование под конкретное приложение, без единой точки уязвимости в коде)
- User Privacy Protection (минимизация данных, прозрачность, политика хранения)
- Top 10 Automotive Security Vulnerabilities, Drone Security (области встраиваемых систем: шина CAN, прошивки OTA, целостность датчиков и радиосвязи, а не исходный код веб-приложений и API)
- Mobile Application Security (усиление защиты платформ Android и iOS: хранилище, биометрия, pinning, персональные данные. У него нет единой поверхности в коде, а аспект загрузки недоверенного кода перешел в
interpreter) - Threat Modeling, Threat Modeling (страница сообщества)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology