CWESANS评出25种最危险的编程错误

CWE/SANS评出25种最危险的编程错误it技术2010-04-1614:23:37阅读30评论0字号:大中小订阅一般弱点列举(CommonWeaknessEnumerationCWE)是由美国国家安全局首先倡议的战略行动,该行动的组织最近发布了《2010年CWE/SANS最危险的程序设计错误(PDF)》一文,其中列举了作者认为最严重的25种代码错误,同时也是软件最容易受到攻击的点。曾在InfoQ中发布过OWASPTop10列表,它所关注的是web应用程序的安全风险,而CWE的Top25的覆盖范围更广,包括著名的缓冲区溢出缺陷。CWE还为程序员提供了编写更安全的代码所需要的更详细的内容。这个列表是SANS学院、MITRE以及“美国和欧洲很多顶级软件安全专家”共同合作的成果。在CWE站点上列有800多个编程、设计和架构上的错误,CWE文档首先列举的是针对程序员最重要的25项,从而帮助他们编写更安全的代码。同时文档还适用于软件设计师、架构师、甚至CIO,他们应该了解这些可能出现的弱点,并采取恰当的措施。根据CWE的列表,跨平台脚本攻击(XSS)和SQL注入被认为是软件最薄弱的环节,而位于第三位的是缓冲区溢出:排名名称1网页架构保持失败(跨平台脚本攻击)2对SQL命令中使用的特定元素处理不当(SQL注入)3在没有检测输入大小的情况下就对缓冲区进行复制(经典的缓冲区溢出)4跨站点伪造请求(CSRF)5不当的访问控制(授权)6在安全决策中信赖不被信任的输入7不当地将路径名限制为受限的目录(路径穿透)8对危险类型文件的上载不加限制9对OS命令中使用的特定元素处理不当10缺少对敏感数据的加密11使用硬编码的证书12使用不正确的长度值访问缓冲区13在PHP程序中,对Include/Require声明的文件名控制不当(PHP文件包含漏洞)14对数组索引验证不当15对非正常或异常的条件检查不当16通过错误消息透漏信息17整型溢出和环绕18对缓冲区大小计算错误19缺少对重要功能的授权20下载代码却不做完整性检查21对重要的资源赋权不当22分配资源,却不做限制和调节23重定向到不受信任站点的URL(开放重定向)24使用被破解或者有风险的加密算法25竞争条件作者并不认为这个列表是放之四海而皆准的,他建议每个组织都应该基于自身的标准来创建自己的列表。文档提出了大量“关注热点”,其中之一是“语言的弱点”:C/C++JavaPHPPerlCWE条目高一般高高CWE-22:不当地将路径名限制为受限的目录(路径穿透)与语言无关,但是一般是在模拟环境中存在高一般高高CWE-78:对OS命令中使用的特定元素处理不当(操作系统命令注入)一般高高高CWE-79:网页架构保持失败(跨平台脚本攻击)高高高高CWE-89:对SQL命令中使用的特定元素处理不当(SQL注入)高CWE-98:在PHP程序中,对Include/Require声明的文件名控制不当(PHP文件包含漏洞)从技术上来说这种问题会在大多数解释型语言中发生,但似乎在PHP中最为流行高有限有限有限CWE-120:在没有检测输入大小的情况下就对缓冲区进行复制(经典的缓冲区溢出)解释器和本地代码通常是使用C/C++创建的,当我们可以使用更高级别的语言对其进行操作时,就很容易受到缓冲区溢出的影响,否则就显得比较“安全”。高有限有限有限CWE-129:对数组索引验证不当从技术上来说,这在很多不同的语言中都会发生,但是在C/C++程序中最容易导致安全问题。高有限有限有限CWE-131:对缓冲区大小计算错误当更简单的缓冲区溢出情况被排除的时候,这个问题就会出现。解释器和本地代码通常是使用C/C++创建的,当我们可以使用更高级别的语言对其进行操作时,就很容易受到缓冲区溢出的影响,否则就显得比较“安全”。高有限有限有限CWE-190:整型溢出和环绕从技术上来说这可能会在多种不同语言中出现,但是在C/C++程序中最容易导致安全问题。高高高一般CWE-209:通过错误消息透漏信息这与语言无关,但经常会出现在基于Web的环境,或是出现在在外部自动执行错误报告的语言中。高高高高CWE-285:不当的访问控制(授权)一般一般一般一般CWE-306:对重要的资源赋权不当在基于Web的环境中比较流行。高高高高CWE-311:缺少对敏感数据的加密高高高一般CWE-327:使用被破解或者有风险的加密算法某些语言中没有内建的加密机制或者已经良好地确立了的库,开发者不得不创建或者集成他们自...

1、当您付费下载文档后,您只拥有了使用权限,并不意味着购买了版权,文档只能用于自身使用,不得用于其他商业用途(如 [转卖]进行直接盈利或[编辑后售卖]进行间接盈利)。
2、本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供参考,付费前请自行鉴别。
3、如文档内容存在侵犯商业秘密、侵犯著作权等,请点击“举报”。

常见问题具体如下:

1、问:已经付过费的文档可以多次下载吗?

      答:可以。登陆您已经付过费的账号,付过费的文档可以免费进行多次下载。

2、问:已经付过费的文档不知下载到什么地方去了?

     答:电脑端-浏览器下载列表里可以找到;手机端-文件管理或下载里可以找到。

            如以上两种方式都没有找到,请提供您的交易单号或截图及接收文档的邮箱等有效信息,发送到客服邮箱,客服经核实后,会将您已经付过费的文档即时发到您邮箱。

注:微信交易号是以“420000”开头的28位数字;

       支付宝交易号是以“2024XXXX”交易日期开头的28位数字。

客服邮箱:

biganzikefu@outlook.com

所有的文档都被视为“模板”,用于写作参考,下载前须认真查看,确认无误后再购买;

文档大部份都是可以预览的,笔杆子文库无法对文档的真实性、完整性、准确性以及专业性等问题提供审核和保证,请慎重购买;

文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为依据;

如果您还有什么不清楚的或需要我们协助,可以联系客服邮箱:

biganzikefu@outlook.com

常见问题具体如下:

1、问:已经付过费的文档可以多次下载吗?

      答:可以。登陆您已经付过费的账号,付过费的文档可以免费进行多次下载。

2、问:已经付过费的文档不知下载到什么地方去了?

     答:电脑端-浏览器下载列表里可以找到;手机端-文件管理或下载里可以找到。

            如以上两种方式都没有找到,请提供您的交易单号或截图及接收文档的邮箱等有效信息,发送到客服邮箱,客服经核实后,会将您已经付过费的文档即时发到您邮箱。

注:微信交易号是以“420000”开头的28位数字;

       支付宝交易号是以“2024XXXX”交易日期开头的28位数字。

笔杆子文秘
机构认证
内容提供者

为您提供优质文档,供您参考!

确认删除?