Common Web Vulnerabilities (OWASP Top 10 Overview)

ခဏလေး ဒီလိုပဲ စဉ်းစားကြည့်

OWASP (Open Worldwide Application Security Project) က non-profit organization ပါ, Top 10 list ကို data-driven research ကနေ ၃-၄ နှစ်တစ်ခါ update လုပ်ပါတယ်။ SQL Injection က user input ကို database query ထဲ direct ထည့်ရေးလို့ attacker ကို query logic ပြောင်းခွင့်ပေးမိတဲ့ vulnerability ပါ (parameterized query ဖြင့် ကာကွယ်ရပါတယ်)။ XSS (Cross-Site Scripting) က user input ကို sanitize မလုပ်ဘဲ HTML output ထဲ ထည့်ရေးလို့, attacker ရဲ့ script code ကို victim browser ထဲ run ခွင့်ပေးမိတဲ့ vulnerability ပါ။ Broken Access Control ကတော့ authorization check ချို့ယွင်းလို့ user တစ်ယောက်က ကိုယ့်ဒေတာ မဟုတ်တဲ့ (user ID ပြောင်းရုံနဲ့ ရ) data ကို ကြည့်နိုင်တဲ့ vulnerability ပါ.

လက်တွေ့ scenario နဲ့ ချိတ်ကြည့်မယ်

DVWA (lab web app) မှာ SQL Injection page ကို `' OR '1'='1` ဆိုတဲ့ input ထည့်ကြည့်ရင် — query logic ကို ပြောင်းလဲပစ်ပြီး, login authentication ကို bypass ဖြစ်စေနိုင်တာကို directly observe နိုင်ပါတယ် — defender ဘက်က parameterized query (prepared statement) ကို သုံးရင် ဒီ vulnerability ကို လုံးဝ ကာကွယ်နိုင်ပါတယ် (user input ကို query logic အဖြစ် interpret လုပ်စေမှာ မဟုတ်ဘဲ, data value တစ်ခုတည်း အဖြစ်ပဲ ဆက်ဆံလို့).

• OWASP Top 10 = web app vulnerability category ၁၀ ခု, industry-standard reference
• SQL Injection = user input ကို database query ထဲ direct ထည့်ရေးမိရင် ဖြစ်နိုင်
• XSS = user input sanitize မလုပ်ဘဲ HTML output ထဲ ထည့်ရေးမိရင် ဖြစ်နိုင်

အတူတူ ကြည့်မယ်

-- Vulnerable query (string concatenation)
SELECT * FROM users WHERE username = '" + userInput + "'

-- If userInput = "' OR '1'='1", the query becomes:
-- SELECT * FROM users WHERE username = '' OR '1'='1'
-- '1'='1' is always true — this bypasses the login check!

-- The fix: parameterized query (input treated as DATA, not code)
SELECT * FROM users WHERE username = ?  -- driver binds userInput safely

SQL Injection/XSS/Broken Access Control ရဲ့ root cause နှင့် defense ကို ရှင်းပြနိုင်မည်။