OWASP Top 10 2013

1. Injection:  在输入中加入代码，直接进入系统
2. Broken Authentication and Session Management: 利用Session  管理的问题，比如登出，密码管理，超时，remember me等等里面的漏洞来进入其他用户的账户。
3. Cross Site Scripting：将恶意代码发给多个用户，一旦有一个用户疏忽，就会被侵入。之后此用户和网页之间的数据交换，cookie等就有可能被暴露。 
1. Haker --> Create Page
2. Victim --> Visit page  
3. Victim --> Get inject script
4. Hacker --> Do bad thing on victim behalf
4. Insecure Direct Object References：没有权限的用户可能访问某些需要权限才能访问的对象。特别是某些文件目录，侵入者可以猜测目录结构，然后进入一个应该保护但是没有被保护的目录
5. Application Security Misconfiguration：某些不必要也不安全的组件被放在网页上面，比如一些内部用的调试组件，侵入者可以通过这些组件绕过认证的过程。 
6. Sensitive Data Exposure: 需要被加密的数据没有被加密储存或者传递，或者使用低级别的加密技术
7. Missing Function Level Access Control：某些函数或者控件只能被认证用户使用，但是因缺少保护，侵入者可以找到这些漏洞。
8. Cross-Site Request Forgery：用户访问网页的时候，现访问侵入者的主机，此主机在用户的请求后面注入恶意代码在发给用户真正要访问的服务器。 
9. Using Components with known vulnerabilities: 开发的时候没有注意使用的库可能是已知的有问题的。使用这种库，就容易出现问题。
10. Unvalidated Redirects and Forwards: 网站经常会将用户重新定向。 如果定向设计的有缺陷，侵入者可以加入一些参数，引诱用户点击以后被重定向到他们希望的网页。