OWASP TOP 10 2010 RC

首先强烈谴责一下某墙封禁 appspot 的行为，长此以来的种种劣迹，与“手上破了点皮，于是把整只手砍掉”的行为如出一辙。同时我强烈质疑某墙在执行变更过程中，是否与某些企业、某些部门存在灰色交易，强烈要求信息的公开、透明化！

OWASP 已经开始制定新的 TOP 10



目前还只是候选，没有正式定稿

有几个比较大的变化，首先是从 07年的 TOP 10 Weakness 变为了现在的 TOP 10 Risk

而且计算风险的模型也变了，结合了漏洞散播、危害度等因素，更加科学，有点像SDL里的 DREAD 模型

以下是新的风险计算方式



在新的TOP 10中，有几个选项发生了变化
首先是07年排名第一的 XSS 和第二的 Injection 互相换了一下位置，这点应无疑义。

其次是04年的“错误配置”再次回归

最后是新增了一个“url跳转”，这是由于近年来基于url跳转的钓鱼、逻辑漏洞越来越多，所以这次就放了进来。