2010最容易导致安全问题的编程错误

498)this.w
idth=498;' onmousewheel = 'javascript:return big(this)' alt="" src="http://images.51cto.com/files/uploadimg/20100223/0931390.peg" width=500>历史上第一个bug网络无处不在的今天，安全问题日益严峻，攻击事件层出不穷，应该说，软件系统中代码存在安全漏洞是主要的祸因之一。而这实际上反映了软件开发人员在编程的安全性方面缺乏必要的培训和常识。由CWS（美国国土安全部下属的软件保证项目）与SANS（权威安全培训组织）联合编制的最危险的25个编程错误，是软件开发人员非常好的快速学习资料。日前，两个机构发布了2010年的编程错误列表。最
新的25个最危险的编程错误
如下。1. 跨站点脚本攻击(4)2. SQL注入(3)3. 经典缓冲区溢出(1)4. 跨站点请求伪造(7)5. 不正确的访问控制（授权）6. 在安全决策中依赖不可信的输入7. 不正确地将路径名限制为受限路径8. 上传危险类型的文件不受限9. 操作系统命令中特殊因素的处理不正确（操作系统命令注入）(5)10. 敏感信息未加密(6)11. 使用硬编码凭据(21)12. 以不正确的长度值访问缓冲区13. PHP程序中Include/Require语句文件名控制不正确（PHP文件侵入）14. 数组下标验证不正确15. 异常条件检查不正确16. 错误消息泄露信息(9)17. 整数溢出18. 缓冲区大小计算错误19. 关键函数缺乏身份验证20. 下载未经
完整性检查的代码(15)21. 对关键资源的错误权限分配(22)22. 资源分配没有限制23. URL重导向到不受信的资源24. 使用被破解或有风险的加密算法(20)25. 存在竞争情况(Race condition)(8)其中后加括号有数字的，是该项错误去年的排名。显然，连续两年都入选的错误，千万不要再犯了。另外，我们对比了去年前25名名单，列出今年落榜的错误如下，相信这些错误仍然具有相当的风险性。2. 不正确的编码或转义输出10. 限定缓冲区内操作失败11. 外部控制重要状态数据12. 外部控制文件名或路径13. 不可信搜索路径14. 控制代码生成错误（代码注入）15. 错误的资源关闭或发布17. 不正确的初始化18. 错误计算19. 可渗透防护23. 随机值的错误利用24. 滥用特权操作25. 客户端执行
服务器端安全推荐大家下载并仔细研读完整的报告，有条件的可以组织开发团队和公司集中学习。这个报告相对枯燥了一些，如果你对哪些错误有比较直观的一看就懂的示例或者解释，欢迎在下面回复，或者与我们联系。