歷史上第一個bug

網絡無處不在的今天，安全問題日益嚴峻，攻擊事件層出不窮，應該說，軟件系統中代碼存在安全漏洞是主要的禍因之一。而這實際上反映了軟件開發人員在編程的安全性方面缺乏必要的培訓和常識。

由CWS（美國國土安全部下屬的軟件保證項目）與SANS（權威安全培訓組織）聯合編制的最危險的25個編程錯誤，是軟件開發人員非常好的快速學習資料。日前，兩個機構發布了2010年的編程錯誤列表。最新的25個最危險的編程錯誤如下。

1. 跨站點腳本攻擊(4)

2. SQL注入(3)

3. 經典緩沖區溢出(1)

4. 跨站點請求偽造(7)

5. 不正確的訪問控制（授權）

6. 在安全決策中依賴不可信的輸入

7. 不正確地將路徑名限制為受限路徑

8. 上傳危險類型的文件不受限

9. 操作系統命令中特殊因素的處理不正確（操作系統命令注入）(5)

10. 敏感信息未加密(6)

11. 使用硬編碼憑據(21)

12. 以不正確的長度值訪問緩沖區

13. PHP程序中Include/Require語句文件名控制不正確（PHP文件侵入）

14. 數組下標驗證不正確

15. 異常條件檢查不正確

16. 錯誤消息泄露信息(9)

17. 整數溢出

18. 緩沖區大小計算錯誤

19. 關鍵函數缺乏身份驗證

20. 下載未經完整性檢查的代碼(15)

21. 對關鍵資源的錯誤權限分配(22)

22. 資源分配沒有限制

23. URL重導向到不受信的資源

24. 使用被破解或有風險的加密算法(20)

25. 存在競爭情況(Race condition)(8)

其中后加括號有數字的，是該項錯誤去年的排名。顯然，連續兩年都入選的錯誤，千萬不要再犯了。

另外，我們對比了去年前25名名單，列出今年落榜的錯誤如下，相信這些錯誤仍然具有相當的風險性。

2. 不正確的編碼或轉義輸出

10. 限定緩沖區內操作失敗

11. 外部控制重要狀態數據

12. 外部控制文件名或路徑

13. 不可信搜索路徑

14. 控制代碼生成錯誤（代碼注入）

15. 錯誤的資源關閉或發布

17. 不正確的初始化

18. 錯誤計算

19. 可滲透防護

23. 隨機值的錯誤利用

24. 濫用特權操作

25. 客戶端執行服務器端安全

推薦大家下載并仔細研讀完整的報告，有條件的可以組織開發團隊和公司集中學習。這個報告相對枯燥了一些，如果你對哪些錯誤有比較直觀的一看就懂的示例或者解釋，歡迎在下面回復，或者與我們聯系。