2010最危险的编程错误(转)

网络无处不在的今天，安全问题日益严峻，攻击事件层出不穷，应该说，软件系统中代码存在安全漏洞是主要的祸因之一。而这实际上反映了软件开发人员在编程的安全性方面缺乏必要的培训和常识。

由CWS（美国国土安全部下属的软件保证项目）与SANS（权威安全培训组织）联合编制的最危险的25个编程错误，是软件开发人员非常好的快速学习资料。日前，两个机构发布了2010年的编程错误列表。最新的25个最危险的编程错误如下。

1. 跨站点脚本攻击(4)

2. SQL注入(3)

3. 经典缓冲区溢出(1)

4. 跨站点请求伪造(7)

5. 不正确的访问控制（授权）

6. 在安全决策中依赖不可信的输入

7. 不正确地将路径名限制为受限路径

8. 上传危险类型的文件不受限

9. 操作系统命令中特殊因素的处理不正确（操作系统命令注入）(5)

10. 敏感信息未加密(6)

11. 使用硬编码凭据(21)

12. 以不正确的长度值访问缓冲区

13. PHP程序中Include/Require语句文件名控制不正确（PHP文件侵入）

14. 数组下标验证不正确

15. 异常条件检查不正确

16. 错误消息泄露信息(9)

17. 整数溢出

18. 缓冲区大小计算错误

19. 关键函数缺乏身份验证

20. 下载未经完整性检查的代码(15)

21. 对关键资源的错误权限分配(22)

22. 资源分配没有限制

23. URL重导向到不受信的资源

24. 使用被破解或有风险的加密算法(20)

25. 存在竞争情况(Race condition)(8)

其中后加括号有数字的，是该项错误去年的排名。显然，连续两年都入选的错误，千万不要再犯了。

另外，我们对比了去年前25名名单，列出今年落榜的错误如下，相信这些错误仍然具有相当的风险性。

2. 不正确的编码或转义输出

10. 限定缓冲区内操作失败

11. 外部控制重要状态数据

12. 外部控制文件名或路径

13. 不可信搜索路径

14. 控制代码生成错误（代码注入）

15. 错误的资源关闭或发布

17. 不正确的初始化

18. 错误计算

19. 可渗透防护

23. 随机值的错误利用

24. 滥用特权操作

25. 客户端执行服务器端安全

推荐大家下载并仔细研读完整的报告，有条件的可以组织开发团队和公司集中学习。这个报告相对枯燥了一些，如果你对哪些错误有比较直观的一看就懂的示例或者解释，欢迎在下面回复。

以上摘自：http://news.cnblogs.com/n/57110/

 

2009年的编程错误列表： 

　　1. 错误的输入验证

　　2. 不正确的编码或转义输出

　　3. 维持SQL查询结构(SQL注入)错误

　　4. 维持网页结构(跨站点脚本)错误

　　5. 维持操作系统命令结果(操作系统命令注入)错误

　　6. 明文传送敏感信息

　　7. 跨站点请求伪造

　　8. 资源竞争(Race condition)

　　9. 错误信息泄露

　　10. 限定缓冲区内操作失败

　　11. 外部控制重要状态数据

　　12. 外部控制文件名或路径

　　14. 不可信搜索路径

　　15. 控制代码生成错误(代码注入)

　　15. 下载未经完整性检查的代码

　　16. 错误的资源关闭或发布

　　17. 不正确的初始化

　　18. 错误计算

　　19. 可渗透防护

　　20. 使用被破解的加密算法

　　21. 硬编码密码

　　22. 对核心资源的错误权限分配

　　23. 随机值的错误利用 

　　24. 滥用特权操作 

　　25. 客户端执行服务器端安全