Insecure Id’s – Most web sites use

Insecure Id’s – Most web sites use some form of id, key, or index as a way to reference users, roles, content, objects, or functions. If an attacker can guess these id’s, and the supplied values are not validated to ensure the are authorized for the current user, the attacker can exercise the access control scheme freely to see what they can access. Web applications should not rely on the secrecy of any id’s for protection.Forced Browsing Past Access Control Checks – many sites require users to pass certain checks before being granted access to certain URLs that are typically ‘deeper’ down in the site. These checks must not be bypassable by a user that simply skips over the page with the security check.Path Traversal – This attack involves providing relative path information (e.g., “../../target_dir/target_file”) as part of a request for information. Such attacks try to access files that are normally not directly accessible by anyone, or would otherwise be denied if requested directly. Such attacks can be submitted in URLs as well as any other input that ultimately accesses a file (i.e., system calls and shell commands).File Permissions – Many web and application servers rely on access control lists provided by the file system of the underlying platform. Even if almost all data is stored on backend servers, there are always files stored locally on the web and application server that should not be publicly accessible, particularly configuration files, default files, and scripts that are installed on most web and application servers. Only files that are specifically intended to be presented to web users should be marked as readable using the OS’s permissions mechanism, most directories should not be readable, and very few files, if any, should be marked executable.Client Side Caching – Many users access web applications from shared computers located in libraries, schools, airports, and other public access points. Browsers frequently cache web pages that can be accessed by attackers to gain access to otherwise inaccessible parts of sites. Developers should use multiple mechanisms, including HTTP headers and meta tags, to be sure that pages containing sensitive information are not cached by user’s browsers.

Results (Russian) 1:

Небезопасных идентификаторам - Большинство веб - сайтов используют некоторую форму идентификатора, ключ или индекс как способ ссылочных пользователей, ролей, содержание, объекты или функции. Если злоумышленник может угадать эти идентификаторы, и поставляемое значение не проверяется , чтобы гарантировать , что разрешены для текущего пользователя, злоумышленник может осуществить схему управления доступом свободно , чтобы увидеть , что они могут получить доступ. Веб - приложения не должны полагаться на тайну любого идентификаторам защиты.
Принудительные проверки просмотра Past Контроль доступа - многие сайты требуют от пользователей пройти определенные проверки перед тем , как получить доступ к определенным URL - адресам, которые обычно «глубже» вниз на сайте. Эти проверки не должны быть отключаемые пользователем , который просто скачет по странице с проверкой безопасности.
Путь Traversal - Эта атака предполагает предоставление относительной информации пути (например, «../../target_dir/target_file») в рамках запроса о предоставлении информации. Такие атаки пытаются доступ к файлам, которые обычно не непосредственно доступны всем, или в противном случае может быть отказано, если требуется непосредственно. Такие атаки могут быть представлены в URL-адресов, а также любой другой вход, который в конечном счете обращается файл (то есть, системные вызовы и команды оболочки).
Права доступа к файлам - Многие веб и сервера приложений полагаются на списках контроля доступа , предоставляемых файловой системой базовой платформы. Даже если почти все данные хранятся на серверах серверными, всегда есть файлы хранятся локально на сервере приложений и веб , которые не должны быть доступны для общественности, в частности , конфигурационные файлы, файлы по умолчанию, и сценарии, которые установлены на большинстве веб - серверов и серверов приложений. Только файлы, которые специально предназначены для представления на веб - пользователей должны быть помечены как читаемый с помощью механизма разрешений ОС, большинство каталогов не должны быть доступны для чтения, и очень немногие файлы, если таковые имеются, должны быть маркированы исполняемым.
Client Side Caching - Многие пользователи получают доступ к веб - приложения с компьютеров общего пользования , расположенных в библиотеках, школах, аэропортах и других точек общественного доступа. Браузеры часто кэш веб - страницы , которые могут быть доступны злоумышленникам получить доступ к иным недоступным частям сайтов. Разработчики должны использовать несколько механизмов, в том числе HTTP заголовков и мета - теги, чтобы убедиться , что страницы , содержащие конфиденциальную информацию, не кэшируются браузерами пользователей.

Results (Russian) 2:

미안해요, 사랑해요.

Results (Russian) 3:

небезопасный Id - большинство сайтов используют в той или иной форме Id, клавиши или индексы для цитирования пользователей, ролей, содержания, объектов или функций.Если нападающий может угадать эти идентификаторы и не проверить представленные значения для обеспечения того, чтобы текущий пользователь был уполномочен, то нападающий может свободно осуществлять программу контроля доступа, с тем чтобы удостовериться в том, что он может получить доступ.веб - приложения не должны зависеть от конфиденциальности любого id.
обязательный просмотр предыдущих проверок контроля доступа - Многие сайты требуют, чтобы пользователи проходили некоторые проверки, прежде чем им предоставляются права доступа к некоторым URL, которые обычно находятся в "более глубоком" положении сайта.Эти проверки не могут быть обойдены пользователем, который просто пропускает страницу проверки безопасности.
путь к эрекции - Это атака, связанная с предоставлением относительной информации о пути (например, "/ target - dir / target - file") в качестве части запроса информации.Такие нападения направлены на то, чтобы получить доступ к документам, к которым обычно никто не имеет прямого доступа, или на то, чтобы отказать в доступе по прямой просьбе.такое нападение может быть совершено в url, а также в любом другом входе в конечный доступ к файлу (т.е. системный вызов и команда shell).
Права доступа к файлам - многие web - сайты и серверы приложений зависят от списка контроля доступа, обеспечиваемого файловыми системами на нижней платформе.Даже если почти все данные хранятся на сервере терминала, всегда есть локальные файлы, которые хранятся на web - сайте и на сервере приложений и к которым не следует обращаться публично, особенно файлы конфигурации, файлы по умолчанию и сценарии, установленные на большинстве web - и прикладных серверов.только те документы, которые специально предназначены для web - пользователей, должны быть помечены как прочитанные с помощью механизма прав OS, большинство каталогов не должны быть читаемыми, и лишь немногие из них, если таковые имеются, должны быть помечены как выполнимые.
клиент кэш - многие пользователи имеют доступ к web - приложениям с общего компьютера, расположенного в библиотеке, школе, аэропортах и других общественных местах доступа.Просмотрщик часто кеширует страницу, к которой имеет доступ нападающий, чтобы получить доступ к другим недоступным частям сайта.разработчик должен использовать несколько механизмов, включая HTTTP - заголовки и метамаркеры, для обеспечения того, чтобы страница, содержащая чувствительную информацию, не была кэширована пользователем.