常见的弱点枚举

预计这可能有安全隐患时,同步是重要的安全代码,记录用户是否进行验证或修改等重要状态信息,不应该受到一个局外人。

竞态条件发生在并发环境中,有效的代码序列的属性。根据上下文,一个代码序列可能形式的函数调用,少量的指令,一系列的程序调用,等等。

竞态条件违反了这些属性,这是密切相关的:

• 排他性的代码序列给出独家访问共享资源,即。,no other code sequence can modify properties of the shared resource before the original sequence has completed execution.
• 原子性的代码序列行为的原子,即。,no other thread or process can concurrently execute the same sequence of instructions (or a subset) against the same resource.

竞态条件存在时,一个“干扰代码序列”仍然可以访问共享资源,违反排他性。程序员可能认为某些代码序列执行太快干扰影响的代码序列;当他们不是,这违反了原子性。例如,单一的“x + +”声明可能出现原子在代码层,但实际上它是非原子在指令层,因为它涉及到阅读(x)的原始值,其次是计算(x + 1),紧随其后的是一个写(将结果保存到x)。

干扰代码序列可能是“可信的”或“不可信”。一个trusted interfering code sequence occurs within the product; it cannot be modified by the attacker, and it can only be invoked indirectly. An untrusted interfering code sequence can be authored directly by the attacker, and typically it is external to the vulnerable product.

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

技术

示例1

这段代码可以用在电子商务应用程序支持账户之间的转账。需要转移的总量,将它发送到新的账户,从原来的账户扣除的金额。

之间的竞争条件可能发生调用GetBalanceFromDatabase()和SendNewBalanceToDatabase ()。

100.00假设最初的平衡。攻击可以构造如下:

在这个阶段,攻击者应该有一个平衡的19.00(由于价值81.00的转移),但平衡是99.00,记录在数据库中。

防止这一弱点,程序员有几个选项,包括使用一个锁来防止多个并发请求到web应用程序,或使用同步机制,包括所有的代码之间GetBalanceFromDatabase()和SendNewBalanceToDatabase ()。

示例2

以下函数试图获得一个锁,以执行操作在一个共享资源。

然而,代码不检查pthread_mutex_lock()返回的值的错误。如果pthread_mutex_lock()由于任何原因无法获得互斥锁,功能可能引入竞争条件和导致未定义行为的程序。

为了避免数据竞争,正确的写程序必须检查的结果线程同步功能和妥善处理所有错误,通过试图恢复他们或报告他们更高的水平。

示例3

假设一个处理器的内存管理单元(MMU)有5个其他影子MMU分配它的各种核心的工作负载。每个MMU的起始地址和结束地址访问内存。任何时候这个访问范围内变化(根据处理器的引导地位),主要的MMU的影子MMU发送更新消息。

假设互连结构不优先考虑这样的“更新”包比其他一般的流量包。这引入了竞争条件。如果攻击者可以用足够的信息,以便洪水目标的攻击数据包达到目标之前,新的访问范围更新,那么攻击者可以利用这个场景。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

技术

示例1

这个示例PHP代码试图确保表单提交过程验证用户提交表单有一个有效的会话。CSRF攻击不会被这个对策阻止,因为攻击者伪造请求通过用户的web浏览器中已经存在一个有效的会话。

下面的HTML是为了允许用户更新一个概要文件。

概要文件。php包含以下代码。

这段代码看起来保护,因为它检查一个有效的会话。然而,CSRF攻击可以从几乎任何标签或HTML构造,包括图像标记,链接嵌入对象标签或其他属性加载背景图像。

攻击者可以主机代码将默默地改变用户名和电子邮件地址的任何用户访问页面的同时保持登录到目标web应用程序。代码可能是一个web页面看上去无害的如:

注意表单包含隐藏字段,所以当它被加载到浏览器,用户不会注意到它。因为SendAttack()定义在身体的onload属性,它将自动加载web页面时调用受害者。

假设用户已经登录到victim.example.com,概要文件。php将看到已经建立了一个有效的用户会话,然后更新电子邮件地址到攻击者的地址。在这个阶段,用户的身份已经被突破,并通过这个概要文件可以发送的消息被发送到攻击者的地址。

有许多不同类型的错误,介绍信息曝光。错误的严重程度范围广泛,可以根据产品的上下文操作,透露敏感信息的类型,以及它可能提供给攻击者的利益。某些敏感信息包括:

• 私人的,个人信息,个人信息,如财务数据,健康记录,地理位置,或联系细节
• 系统状态和环境,如操作系统和安装包
• 商业秘密和知识产权
• 网络状态和配置
• 产品的代码或内部状态
• 元数据,比如日志或消息头的连接
• 间接信息,比如两个内部操作之间的差异,可以观察到一个局外人

对不同党派信息可能是敏感,每一种都可能有自己的预期是否应该受到保护的信息。这些政党包括:

• 产品的用户
• 人或组织的信息创建或使用的产品,即使他们不是直接产品用户
• 产品的管理,包括系统的管理员(s)和/或网络产品的经营
• 开发人员

信息曝光可以发生在不同的方式:

• 的代码显式地插入敏感信息资源或消息有意访问未经授权的演员,但不应包含的信息——即。,信息应该是“擦洗”或“净化”
• 一个不同的弱点或错误间接插入敏感信息为资源,如web脚本错误揭示了全系统程序的路径。
• 故意包含敏感信息的代码管理资源,但资源无意中做了访问未经授权的演员。在这种情况下,合成——即暴露信息。,a different weakness enabled the access to the information in the first place.

保密是常见的做法来描述任何损失作为“信息暴露,”但这可能导致过度使用cwe - 200CWE的映射。从CWE的角度来看,损失的机密性是一个技术的影响,可以来自几十个不同的弱点,如不安全的文件权限或界外阅读。cwe - 200及其底层的后代为了封面中发生的错误行为,明确管理、存储、传输或净化敏感信息。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

技术

示例1

下面的代码检查的有效性提供的用户名和密码并通知用户的成功或失败的登录。

在上面的代码中,当一个不正确的用户名有不同的信息提供,而当用户名是正确的,但密码是错误的。这种差异使潜在的攻击者了解登录的状态函数,并可能允许攻击者发现一个有效的用户名通过尝试不同的值,直到返回不正确的密码信息。本质上,这使得攻击者更容易获得必要的身份验证凭证的一半。

虽然这种类型的信息对用户是有用的,也有用一个潜在的攻击者。在上面的示例中,消息都失败的情况下应该是一样的,如:

示例2

这段代码试图打开一个数据库连接,并打印任何发生的异常。

如果发生异常,则打印消息暴露的位置配置文件脚本使用。攻击者可以利用这些信息来目标配置文件(可能利用路径遍历的弱点)。如果文件可以读取,攻击者可以获得凭证访问数据库。攻击者还可以用恶意替换文件,导致应用程序使用一个任意的数据库。

示例3

在下面的示例中,该方法getUserBankAccount从数据库检索一个银行帐户对象使用提供的用户名和账号来查询数据库。如果一个SQLException提出查询数据库时,将创建一个错误消息输出到日志文件。

创建的错误信息包括数据库查询的信息可能包含敏感信息的数据库或查询逻辑。在本例中,错误消息将公开数据库中使用的表名和列名。这些数据可以用来简化其他的攻击,如SQL注入(cwe - 89)直接访问数据库。

示例4

这个代码存储位置有关当前用户的信息:

当应用程序遇到异常用户对象写入日志。因为用户对象包含位置信息,用户的位置也写入到日志。

示例5

下面是一个实际的MySQL错误语句:

错误显然暴露数据库证书。

例子6

这段代码在网页上显示一些信息。

代码显示一个用户的信用卡和社会安全号码,即使他们并不是绝对必要的。

例7

下面的程序基于调试标记改变它的行为。

代码写敏感的调试信息到客户端浏览器如果“debugEnabled”标志被设置为true。

示例8

这段代码使用位置来确定用户的当前我们国家的位置。

首先应用程序必须声明,它需要在应用程序的manifest.xml ACCESS_FINE_LOCATION许可:

在执行期间,调用getLastLocation()将返回一个基于位置的应用程序的位置的权限。在这种情况下,应用程序允许最准确的位置:

当应用程序需要这些信息,它不需要使用ACCESS_FINE_LOCATION许可,随着ACCESS_COARSE_LOCATION许可足以识别哪些我们国家的用户。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

技术

示例1

下面的代码将确保用户已登录。如果不是这样,代码执行身份验证的用户提供的用户名和密码。如果成功,它集loggedin和用户cookie“记住”,用户已经登录。最后,代码执行管理员任务如果登录用户的用户名“管理员”,记录在用户cookie。

不幸的是,这段代码可以绕过。攻击者可以独立设置cookie,这样代码不检查用户名和密码。攻击者可以用一个HTTP请求包含标题,如:

通过设置loggedin饼干“真正的”,攻击者绕过整个身份验证检查。通过使用“管理员”价值在用户cookie,攻击者也获得权限管理软件。

示例2

2009年1月,攻击者能够获得管理员访问Twitter的服务器,因为服务器不限制登录尝试的数量(ref - 236]。攻击者针对Twitter的支持团队的一员,能够成功地猜成员的密码使用蛮力攻击猜测大量常用单词。后获得的成员支持人员,攻击者使用管理员面板进入33账户属于名人和政客。最终,假的Twitter消息被发送,似乎来自于账户被盗。

示例3

2022年,OT:冰崩研究调查了10个不同的操作技术(OT)供应商的产品。研究人员报道,56个漏洞,说产品是“不安全的设计”(ref - 1283]。如果这些漏洞利用,往往让对手改变产品运营,从拒绝服务改变产品执行的代码。因为这些产品经常被应用于行业,如电力、电气、水,和其他人,甚至会出现安全问题。

多个供应商不使用任何身份验证或使用客户端身份验证关键功能的产品。

• 身份验证

当一个产品允许用户输入包含代码的语法,有可能对攻击者工艺代码以这样一种方式,它将改变产品的预期控制流。这样的改变可能导致执行任意代码。

注入问题包含了各种各样的问题,减轻以非常不同的方式。出于这个原因,讨论这些弱点的最有效的方法是注意的不同特性进行分类注入的弱点。需要注意的最重要的问题是,注入所有的问题都有一个共同点,即。,他们允许注入控制平面数据到用户控制飞机。这意味着过程的执行可能被改变通过合法的数据通道发送代码,使用任何其他机制。虽然缓冲区溢出,和许多其他缺陷,包括获得执行进一步的使用问题,注入的问题只需要解析数据。最经典的实例化这个类别的软弱是SQL注入和格式字符串漏洞。

该清单显示了给定的弱点可以可能的地区出现。这些可能是为特定命名的语言,操作系统,架构、模式、技术、或一个类这样的平台。列出的平台是随着频率的出现疲态实例。

语言

示例1

这个例子试图写用户消息到消息文件,允许用户查看它们。

而程序员MessageFile只包括数据计划,攻击者可以提供信息,如:

将解码后:

程序员认为他们只是包括常规数据文件的内容,但PHP解析和执行代码。现在,这段代码执行任何时候人消息的看法。

注意,XSS (cwe - 79在这种情况下)也是可能的。

示例2

edit-config。pl:这CGI脚本用于修改配置文件中的设置。

脚本打算采取行动的参数和调用多种功能的基于该参数的值——config_file_add_key (), config_file_set_key(),或config_file_delete_key ()。它可以单独设置一个条件来调用每个函数,但eval()是一个强大的方法使用更少的代码做同样的事情,尤其是当涉及大量的函数或变量。不幸的是,在这种情况下,攻击者可以提供其他值在操作参数,如:

这将产生以下字符串handleConfigAction ():

可以添加任意Perl代码后,攻击者已经“关闭”建设的原始的函数调用,为了防止解析错误造成恶意eval()失败之前攻击者的有效载荷被激活。这个特定的操作系统()调用会失败后,因为“_key(\ $帧\键,美元\ $ val)”部分的字符串会导致一个错误,但这是无关紧要的攻击,因为负载已经激活。

示例3

这个简单的脚本要求用户提供一个数字列表作为输入,并将它们添加在一起。

eval()函数可以将用户提供的列表,并将它转换成一个Python列表对象,因此允许程序员使用列表理解方法来处理数据。但是,如果代码提供给eval()函数,它将执行代码。例如,恶意用户可以提供以下字符串:

这将删除当前目录中的所有文件。由于这个原因,不建议使用eval()不可信的输入。

来完成这个不使用eval()是应用整数转换输入在一个try /除了块。如果用户提供的输入不是数字,这将提高ValueError。通过避免eval(),没有机会执行输入字符串的代码。

另一种选择是使用ast.literal_eval()函数从Python的ast模块。这个函数只考虑Python文字作为有效数据类型和不会执行任何代码中包含用户输入。