ခဏလေး ဒီလိုပဲ စဉ်းစားကြည့်
OWASP (Open Web Application Security Project) က non-profit organization ဖြစ်ပြီး web app vulnerability တွေကို research/document လုပ်ပါတယ်။ Top 10 list ထဲမှာ Broken Access Control (permission check မှန်ကန်စွာမလုပ်ခြင်း), Injection (SQL injection အပါအဝင်), Cryptographic Failures (weak/no encryption), Security Misconfiguration (default setting မပြောင်းခြင်း) တွေ ပါဝင်ပါတယ် — developer ဖြစ်ဖြစ်, security-conscious user ဖြစ်ဖြစ် ဒီ pattern တွေကို သိထားရင် risk ကို ပိုမြင်နိုင်ပါတယ်။
လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်
Login form တစ်ခုမှာ error message က 'Invalid password' vs 'User not found' ဆိုပြီး ခွဲပြရင် attacker က account ရှိ/မရှိ သိသွားနိုင်ပါတယ် (information disclosure) — 'Invalid username or password' ဆိုပြီး generic message ပြသင့်ပါတယ်။ Application တစ်ခု setup လုပ်တဲ့အခါ default admin account (admin/admin) ကို password မပြောင်းဘဲ ထားခဲ့ရင် Security Misconfiguration ဖြစ်ပါတယ်။
အတူတူ ကြည့်မယ်
OWASP Top 10 (sample categories)
----------------------------------
Broken Access Control → permission check မှန်ကန်စွာမလုပ်
Injection → SQL injection, command injection
Cryptographic Failures → weak/no encryption
Security Misconfiguration → default password, unused feature ဖွင့်ထားOWASP Top 10 categories ၄ ခုကို real-world example နဲ့ ရှင်းပြနိုင်မည်။၅ မိနစ် စမ်းကြည့်
OWASP official website ကို ဝင်ကြည့်ပြီး Top 10 category ၁၀ ခုစလုံးရဲ့ name list ကို ကူးရေးကြည့်ပါ။
သတိလေးတစ်ချက်
OWASP Top 10 list က နှစ်စဉ် update ဖြစ်ပါတယ် — attacker technique အမြဲပြောင်းနေလို့ list ကိုလည်း ပုံမှန် ပြန်လေ့လာသင့်ပါတယ်။