常见的弱点枚举

CWE术语表定义

安全组件之间的交互

它是健康的头号杀手软件,所以你只是自找麻烦如果你不确保输入符合预期。例如,一个标识符,你期望数字永远不应该包含字母。一辆新车的价格也不应该被允许美元,甚至在今天的经济。应用程序通常比这些简单的例子有更复杂的验证要求。不正确的输入验证可以导致漏洞当攻击者可以修改他们的输入以意想不到的方式。今天的许多最常见的漏洞可以被消除,或者至少减少,使用适当的输入验证。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
3,7,8,9,10,13,14,18,22,24,28,31日,32,42,43,45,46,47,52,53,63年,64年,66年,67年,71年,72年,73年,78年,79年,80年,81年,83年,85年,86年,88年,91年,99年,101年,104年,106年,108年,109年,110年

电脑有一个奇怪的习惯做你说什么,而不是你的意思。输出编码不足常兄弟可怜的输入验证,但它是最喷射攻击的根源,这是最近风靡一时。攻击者可以修改命令,你打算发送给其他组件,可能导致一个完整的应用程序的妥协,更不用说其他组件暴露在攻击,攻击者将无法直接启动。“做我的意思”变成“攻击者说什么。”When your program generates outputs to other components in the form of structured messages such as queries or requests, it needs to separate control information and metadata from the actual data. This is easy to forget, because many paradigms carry data and commands bundled together in the same stream, with only a few special characters enforcing the boundaries. An example is Web 2.0 and other frameworks that work by blurring these lines. This further exposes them to attack.

…查看完整的技术细节

CAPEC-IDs:(查看所有)
18,63年,73年,81年,85年,86年,104年

这些天,似乎软件都是关于数据:到数据库,从数据库中拉,按摩到信息,并将其发送给其他地方为了好玩和利润。如果攻击者可以影响SQL,您使用与数据库通信,然后他们可以做令人不快的事情,他们得到所有的乐趣和利润。如果您使用SQL查询认证等安全控制,攻击者可能会改变这些查询的逻辑绕过安全。他们可以修改查询来偷,腐败,或者改变你的基础数据。他们甚至会偷一次一个字节的数据如果他们,和他们有耐心和知识。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
7,66年,108年,109年,110年

跨站点脚本(XSS)是一种最普遍、最顽固,和危险的漏洞在web应用程序中。这是几乎不可避免的,当你把HTTP无状态的本质,数据和脚本的混合物在HTML中,很多网站之间的数据传递,不同的编码方案,和功能丰富的web浏览器。如果你不小心,攻击者可以注入Javascript或其他browser-executable内容应用程序生成一个web页面。然后由其他用户访问网页,浏览器的执行恶意脚本好像来自你(因为,毕竟,它* *来自你)。突然,你的网站是你没有写的代码。攻击者可以使用各种技术来获得直接输入到您的服务器,或者使用一个不知情的受害者的中间人技术版本的“你为什么一直打自己?”游戏。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
19,32,85年,86年,91年

你的软件通常是一个局外人在网络之间的桥梁,您的操作系统的内部。当您调用另一个程序上的操作系统,但你让不受信任的输入输入的命令字符串生成的执行计划,那么你就邀请攻击者穿过那座桥到土地财富的执行自己的命令,而不是你的。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
6,15,43,88年,108年

如果你的软件通过网络发送敏感信息,如私人数据或身份验证凭证,在途信息横跨许多不同的节点到它的目的地。攻击者可以嗅这些数据正确的线,它不需要很多的努力。所有他们需要做的就是控制一个节点最终目的地的路径,控制任何节点在同一网络的交通节点,或插入一个可用的接口。试图使交通使用Base64等计划和URL编码不能提供任何保护,;这些编码规范通信,而不是忙于数据不可读。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
65年,102年

你知道比在机场接受一个陌生人的一个包。它可能包含危险的内容。另外,如果出了任何差错,那么它会看起来好像是你做的,因为你的包当你登机。跨站点请求伪造就是这样奇怪的包,除了攻击者技巧用户进入你的网站的激活请求。由于脚本和web的工作方式在一般情况下,用户可能不知道请求被发送。但是一旦请求到达服务器,它看起来好像来自用户,而不是攻击者。这可能似乎不是一件大事,但攻击者已经基本上伪装合法用户获得了所有潜在的用户访问。这一点尤其方便当用户有管理员权限,从而产生一个完整的应用程序的功能的妥协。当结合XSS,可以广泛的和毁灭性的结果。如果你听说过XSS蠕虫蜂拥到非常大的网站在几分钟内,通常CSRF喂养它们。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
62年,111年

交通事故发生时,两辆车试图使用相同的资源在几乎相同的时间,即。,同样的路的一部分。竞争条件在你的软件没有多大区别,除了攻击者有意识地想要利用他们造成混乱或让您的应用程序咳出一些有价值的东西。在许多情况下,竞态条件可以包括多个进程中,攻击者完全控制一个过程。即使竞争条件发生在多个线程之间,攻击者可能会影响当一些线程执行。竞态条件你唯一的安慰是数据损坏和拒绝服务是常态。可靠的代码执行的技术还没有被开发出来,。至少不是对某些种类的竞态条件。小小的安慰。可以局部或全局的影响,取决于竞争条件影响,如状态变量或安全逻辑,无论是发生在多个线程,进程或系统。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
26,29日

如果你使用的错误消息,然后他们可以披露秘密任何攻击者敢于滥用您的软件。秘密可以覆盖大范围的有价值的数据,包括个人身份信息(PII)认证证书和服务器配置。有时,他们看似无害的秘密,是方便用户和管理员,如您的软件的安装路径。即使是这些小秘密可以极大地简化更协调一致的攻击,产量更大的回报,这是在现实世界的攻击。这是一个关心你是否发送临时错误消息返回给用户或如果你永久记录在一个日志文件中。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
7,54

有风险的资源管理

缓冲区溢出是大自然母亲的小提醒,物理定律说:如果你想把更多的东西放到一个容器超过它所能容纳的量,你会搞得一团糟。几十年来C应用程序的祸害,缓冲区溢位已经消除。一个原因是,他们不只是使用strcpy()不正确,或不当检查你输入的长度。攻击和检测技术不断提高,今天的缓冲区溢位变异并不总是显而易见的起初甚至多看一眼。你可能认为你完全免疫缓冲区溢出,因为你在高级语言编写代码,而不是c,但什么是你最喜欢的“安全”语言的翻译写的吗?本机代码你叫呢?语言是什么操作系统的API编写的吗?互联网基础设施运行的软件怎么样?这么想的。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
8,9,10,14,24,42,44,45,46,47,One hundred.

有很多方法可以存储用户状态数据没有数据库的开销。不幸的是,如果你将这些数据存储在一个地方,攻击者可以修改它,这也减少了开销对于一个成功的妥协。例如,数据可以存储在配置文件,配置文件,饼干,隐藏的表单字段,环境变量,注册表键,或其他地方,所有由攻击者可以修改。在无状态协议(如HTTP,某种形式的用户状态信息必须在每个请求,所以它是暴露于攻击者的必要性。如果你基于这些数据执行任何强调安全操作(如说明用户是管理员),然后你可以打赌,有人会修改数据为了欺骗你的应用程序做一些你没有意愿。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
21,31日,167年

尽管数据经常使用交换文件,有时你不打算公开每个文件系统上而这样做。当你使用一个局外人的输入而构建一个文件名,由此产生的路径可以点以外的目的目录。攻击者可以将多个“. .”或相似的序列导致操作系统目录导航的限制。其他与攻击是由外部控制简化的文件名,例如符号链接后,导致应用程序读取或修改文件,攻击者不能直接访问。同样如果你的程序运行和提高特权和它接受文件名作为输入。如果你允许一个局外人指定任意URL,你会下载代码并执行它,你只是要求蠕虫。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
13,64年,72年,76年,78年,79年,80年

软件依赖于你,或其环境,提供一个搜索路径,让它知道它能找到关键资源如代码库或配置文件。如果攻击者控制的搜索路径,那么攻击者可以修改它指攻击者选择的资源。这使软件在错误的时间错误的资源的访问。同样的风险存在,如果一个搜索路径元素可能是攻击者控制,如当前工作目录。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
38

为便于开发,有时你不能打败用几行代码使用大量的功能。更酷的当你管理动态代码。虽然很难否认的性感动态生成的代码,攻击者会发现,同样有吸引力。变成一个严重的脆弱性由未授权方直接调用您的代码时,如果外部输入会影响哪些代码被执行,或者恐怖的(恐怖)如果这些输入都是直接输入代码本身。的影响是显而易见的:你所有的代码都属于他们。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
35,77年

你不需要成为一个专家意识到,如果您下载代码并执行它,你相信这些代码的来源并不是恶意的。也许你只访问一个下载站点,你的信任,但攻击者可以执行各种各样的技巧来修改代码之前到达你。黑客下载网站,冒充DNS欺骗或缓存中毒,让系统重定向到一个不同的网站,甚至修改代码在运输途中穿过网络。这个场景甚至适用于案件中,下载并安装自己的更新自己的产品。当这种情况发生时,您的软件将会运行代码,它不期望,这是对你有害,但对攻击者。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
184年,185年,186年,187年

当你宝贵的系统资源已达到临终时,你需要正确地处理它们。否则,您的环境将变得严重拥挤或污染。这适用于内存,文件,饼干,数据结构、会话、通信管道、等等。攻击者可以利用不当关闭维护控制这些资源后你以为你摆脱他们。这可能导致巨大的资源消耗,因为实际上没有被释放回系统。如果你不洗你的垃圾处置前,攻击者可能会筛选,寻找宝石的形式应该被敏感数据。他们还可以重用的资源,这似乎是正确的在一个“绿色”的世界里,除了在虚拟世界中,这些资源可能仍然具有重要的价值。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
118年,119年,125年,130年,131年

就像你应该开始你的一天和一个健康的早餐,适当的初始化有助于确保您的软件将运行没有晕倒在中间的一个重要事件。如果你不正确地初始化数据和变量,攻击者可能会为你做初始化,或提取敏感信息仍从先前的会话。当使用这些变量重要的安全操作,如作出认证决定,这样他们就可以被修改,绕过你的安全。不正确的初始化可以在任何地方发生,但它可能是最流行的在极少情况下导致代码无意中跳过初始化,比如掩盖错误。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
26,29日,172年

计算机可以执行计算的结果似乎不数学意义。例如,如果你是用两个大,正数,结果可能是由于一个整数溢出数量小得多。在其他情况下,计算可能计划无法执行,如被零除。当攻击者控制的输入,用于数值计算,这一弱点可以有安全的后果。它可能会导致你做出错误的安全决策。它可能会导致你分配资源远远超过你预期——或者更少,在整数溢出的情况下,由于内存分配不足引发缓冲区溢出。它可能违反业务逻辑,例如计算产生负的价格。最后,拒绝服务也是可能的,如除触发程序崩溃。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
124年,128年,129年

多孔防御

假设你举办聚会几个亲密的朋友和他们的客人。你邀请大家进入你的客厅,但是当你赶上你的一个朋友,其中一个客人袭击你的冰箱,偷看到你的药箱,思考你藏在你的床旁边的床头柜上。软件面临类似的授权问题,可能会导致更严重的后果。如果你不确保您的软件的用户只有做他们允许,那么攻击者会试图利用你的授权和不当锻炼未经授权的功能,你只用于限制用户。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
1,13,17,39,45,51,59,60,76年,77年,87年,104年

如果你处理敏感数据或需要保护通信通道,你可以使用加密,以防止攻击者阅读它。你可能会开发自己的加密方案,希望使攻击者难以破解。这样的一小块加密是一个受欢迎的视线攻击者。加密是困难的。如果全球杰出的数学家和计算机科学家不能正确(和他们总是打破自己的东西),然后你也不会。你可能认为您创建了一个全新的算法,没有人会算出,但更有可能的是,你重新发明轮子脱落前游行即将开始。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
97年

硬编码一个秘密账户和密码到您的软件验证模块非常方便,对熟练反向工程师。虽然它可能缩小您的测试和支持预算,它可以减少灰尘的安全你的客户。如果密码是相同的所有您的软件,然后每一位客户成为脆弱如果相反,当你密码就知道。因为它是硬编码的,它通常是一个巨大的疼痛让系统管理员解决。你知道他们有多爱不便凌晨2点时网络被攻击,相当于你会喜欢对一群愤怒的客户和大量的负面新闻,如果你的小秘密应该出去。大多数CWE的前25名可以被解释为一个诚实的错误;然而,对于这个问题,客户不会这么看。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
188年,189年,190年,191年,192年,205年

非常粗鲁的东西未经许可,但用户(也就是不礼貌的。,攻击者)愿意花一点时间看看他们能侥幸。如果你有关键程序,数据存储,或配置文件的权限,让你的资源可读或写的世界——好吧,这就是他们会成为什么。虽然这可能不被认为是在实现或设计问题,有时需要应用的解决方案。让一个忙碌的sysadmin注意到并做出适当的改变远非最佳,有时是不可能的。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
60,61年,62年

想象拉斯维加斯一家赌场多快会破产如果赌客可以预测下一个滚动的骰子,旋转的轮子,或把卡。如果您使用安全特性,需要良好的随机性,但你不提供它,那么你会有攻击者一路笑着到银行。你可能取决于随机性的情况下,例如当生成会话id或临时文件名。(PRNG)是常用的伪随机数生成器,但很多事情可能出错。一旦攻击者可以确定哪些算法被使用,他或她可以猜下一个随机数经常推出相对较少的努力后成功的攻击。毕竟,如果你是在拉斯维加斯,你发现一个游戏与1000 - 1的赔率可以击倒10:1的可能性在你关注几个游戏,不是很值得继续玩,直到你中了大奖?

…查看完整的技术细节

CAPEC-IDs:(查看所有)
59,112年

蜘蛛侠,著名的漫画英雄,生活的座右铭“大国意识到有很大的责任。”Your software may need special privileges to perform certain operations, but wielding those privileges longer than necessary can be extremely risky. When running with extra privileges, your application has access to resources that the application's user can't directly reach. For example, you might intentionally launch a separate program, and that program allows its user to specify a file to open; this feature is frequently present in help utilities or editors. The user can access unauthorized files through the launched program, thanks to those extra privileges. Command execution can happen in a similar fashion. Even if you don't launch other programs, additional vulnerabilities in your software could have more serious consequences than if it were running at a lower privilege level.

…查看完整的技术细节

CAPEC-IDs:(查看所有)
69年,104年

富客户端可以使攻击者富有,贫穷和客户,如果你信任的客户代表您的服务器进行安全检查。记住下面的GUI,它只是代码。攻击者可以反向工程客户和编写自己的自定义客户遗漏某些不便特征像所有那些讨厌的安全控制。后果将取决于你的安全检查是什么保护,但一些较常见的目标是身份验证、授权和输入验证。如果你实现安全服务器,那么您需要确保你不仅仅依赖于客户执行。

…查看完整的技术细节

CAPEC-IDs:(查看所有)
21,31日,122年,162年,202年,207年,208年