目前为止,Hackerone 平台已经发现 1731 个公开的漏洞,主要来自 Twitter、Uber、Dropbox、Github 等公司。其中 8 个已经删除,9 个来自互联网或者特定的语言,剩下的 1714 个中,有 1359 个我们可以通过代码或者人工的方式进行分类。
类型 | 数量 | 占比 |
---|---|---|
用户输入过滤 | 481 | 27.8 |
其他代码问题 | 549 | 31.7 |
配置问题 | 325 | 18.8 |
无法归类+信息+垃圾 | 376 | 21.7 |
其中 1/3 的问题与 XSS、不安全的数据引用 (数据泄露) 或者忘记设置 CSRF token 有关,这个 页面 列举的这些问题非常有趣,值得一读.
类型 | 数量 | 占比 |
---|---|---|
XSS | 375 | 21.87 |
非安全引用 + 数据泄露 | 104 | 6.06 |
CSRF Token | 99 | 5.77 |
开放重定向 | 59 | 3.44 |
信息/源代码泄露 | 57 | 3.32 |
DNS 配置错误 + Apache/Nginx + 子域名接管 + Open AWS_S3 | 44 | 2.56 |
不正确的 session 管理/固定 | 39 | 2.27 |
TLS/SSL/POODLE/Heartbleed | 39 | 2.27 |
HTML/JS/XXE/内容注入 | 37 | 2.15 |
HTTP 头信息问题 | 34 | 1.98 |
空指针 + 段错误 + 在 free() 之后使用内存 | 33 | 1.92 |
DMARC/DKIM/邮件 SPF 设置 | 31 | 1.8 |
SQL 注入 | 28 | 1.63 |
点击劫持 | 27 | 1.57 |
不正确的 cookie 使用 (secure/httpOnly/暴露) | 25 | 1.45 |
路径暴露 | 25 | 1.45 |
开放权限 | 24 | 1.4 |
暴力破解 | 24 | 1.4 |
内容欺诈 | 20 | 1.16 |
缓冲区溢出 | 20 | 1.16 |
拒绝服务 | 19 | 1.1 |
服务端请求伪造 | 18 | 1.05 |
Adobe Flash 漏洞 | 18 | 1.05 |
用户/信息 枚举 | 17 | 0.99 |
远程代码执行 | 15 | 0.87 |
密码重置 token 过期/尝试/其他 | 13 | 0.75 |
整型溢出 | 11 | 0.64 |
版本泄露 | 11 | 0.64 |
CSV 注入 | 10 | 0.58 |
权限放大 | 9 | 0.52 |
OAuth 状态/泄露和其他问题 | 9 | 0.52 |
密码策略 | 7 | 0.4 |
CRLF | 7 | 0.4 |
python 语言 | 6 | 0.35 |
单向攻击 | 6 | 0.35 |
文件上传类型/大小/存储位置 过滤 | 6 | 0.35 |
Captcha | 5 | 0.29 |
远程/本地 文件包含 | 4 | 0.23 |
目录列表 | 4 | 0.23 |
路径遍历 | 4 | 0.23 |
远程文件上传 | 4 | 0.23 |
(WEB表单)开启自动填充 | 4 | 0.23 |
通过引用泄露 | 3 | 0.17 |
Pixel Flood Attack | 3 | 0.17 |
输入控制字符 | 2 | 0.11 |
- 竞态条件漏洞
- Pixel Flood Attack
- IDN Homograph Attack
- 输入控制字符后输入一些有趣的东西