CWE（Common Weakness Enumeration，通用缺陷枚举，细谈分布式事务的前世今生

CVE则是一个由企业界、政府界和学术界综合参与的国际性组织，采取一种非盈利的组织形式，其使命是为了能更加快速而有效地鉴别、发现和修复软件产品的安全漏洞。CVE就好像是一个字典表，为广泛认同的信息安全漏洞给出一个公共的名称。

总的来说，CVE是用于标识和命名特定漏洞的标准，而CWE则是用于分类和描述可能导致漏洞的弱点类型的标准。这两个都是由美国国土安全部（DHS）网络安全和基础设施安全局（CISA）赞助¹。MITRE公司既定期发布业界广泛引用的软件产品漏洞库CVE，也公布并实时更新包括识别、减轻和阻止软件漏洞的源代码漏洞词典库CWE及相关通用标准。

---

CWE（Common Weakness Enumeration，通用缺陷枚举）数据库列出了许多常见的安全漏洞类型。以下是一些例子：

1. 越界写入 (CWE-787)：当应用程序在预期输入缓冲区的边界之外写入数据时，就会出现这种安全漏洞。当应用程序执行指针运算或更改索引以引用内存缓冲区之外的位置时，也可能导致该弱点。这种内存损坏通常会导致意外的代码执行、崩溃或数据损坏。
2. 越界读取 (CWE-125)：当应用程序可以读取预期输出缓冲区边界之外的数据时，就会出现 CWE-125 漏洞。攻击者可以从越界内存中读取敏感信息，以获取可用于绕过身份验证机制并利用其他弱点进行进一步攻击的秘密值。该漏洞还可能导致内存缓冲区溢出、分段错误，甚至系统崩溃。
3. 输入中和不当 (CWE-79)：也称为跨站点脚本 (XSS)，当攻击者可以将恶意代码注入网站时，就会出现此漏洞，通常使用浏览器端脚本。该弱点在动态生成的网页中接受不受信任的数据而没有适当中和的应用程序中很常见。
4. 输入验证不当 (CWE-20)：CWE-20 弱点出现在接受输入数据但未正确验证所提供输入是否具有安全处理所需属性的应用程序中。当应用程序接收到更改的控制流路径时，攻击者可以制作访问有限资源或远程代码执行的意外输入。
5. 特殊元素中和不当 (CWE-78)：CWE-78 漏洞发生在使用上游组件提供的外部输入构建部分或整个操作系统命令的软件应用程序中。此漏洞也称为OS 命令注入，当应用程序未消除输入中存在的元素时，该漏洞处于活动状态，这些元素在发送到预期的下游组件时可能会修改命令。

以上只是一部分常见的 CWE 类型，实际上 CWE 数据库对超过600类和基本级别的弱点进行分类，最严重的类型列在CWE Top 25。

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）

写在最后

在结束之际，我想重申的是，学习并非如攀登险峻高峰，而是如滴水穿石般的持久累积。尤其当我们步入工作岗位之后，持之以恒的学习变得愈发不易，如同在茫茫大海中独自划舟，稍有松懈便可能被巨浪吞噬。然而，对于我们程序员而言，学习是生存之本，是我们在激烈市场竞争中立于不败之地的关键。一旦停止学习，我们便如同逆水行舟，不进则退，终将被时代的洪流所淘汰。因此，不断汲取新知识，不仅是对自己的提升，更是对自己的一份珍贵投资。让我们不断磨砺自己，与时代共同进步，书写属于我们的辉煌篇章。

需要完整版PDF学习资源私我

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

），让我们一起学习成长！**
[外链图片转存中…(img-gSZ8Csss-1712652283575)]