2010最危险的25个编程错误之思考

       早上上班先扫了一眼csdn，其中新闻“2010最危险的编程错误”挺吸引我，于是深度之，感触颇深。

一、2010最危险的编程错误条目

       1. 跨站点脚本攻击(4)

       2. SQL注入(3)

       3. 经典缓冲区溢出(1)

       4. 跨站点请求伪造(7)

       5. 不正确的访问控制（授权）

       6. 在安全决策中依赖不可信的输入

       7. 不正确地将路径名限制为受限路径

       8. 上传危险类型的文件不受限

       9. 操作系统命令中特殊因素的处理不正确（操作系统命令注入）(5)

       10. 敏感信息未加密(6)

       11. 使用硬编码凭据(21)

       12. 以不正确的长度值访问缓冲区

       13. PHP程序中Include/Require语句文件名控制不正确（PHP文件侵入）

       14. 数组下标验证不正确

       15. 异常条件检查不正确

       16. 错误消息泄露信息(9)

       17. 整数溢出

       18. 缓冲区大小计算错误

       19. 关键函数缺乏身份验证

       20. 下载未经完整性检查的代码(15)

       21. 对关键资源的错误权限分配(22)

       22. 资源分配没有限制

       23. URL重导向到不受信的资源

       24. 使用被破解或有风险的加密算法(20)

       25. 存在竞争情况(Race condition)(8)

       其中后加括号有数字的，是该项错误去年的排名。显然，连续两年都入选的错误，千万不要再犯了。

二、25条编程错误之思考

       1、高安全性web程序越来越难写

       虽然现在编程语言越来越多、越来越先进、上手越来越容易，甚至完全利用拖拉、配置都可以完成程序编写，但是程序安全风险却越来越高，而且越来越隐蔽。这个，我们细想下也好理解，因为安全风险是可继承并且可放大的。比如说，优秀的html编辑器fckeditor，其有文件上传的漏洞，则只要你的web站点使用了fckeditor就有文件上传的漏洞，而此漏洞是极其隐蔽的。因此，对于对公的有数据交互的web开发，提高其安全性欲来欲困难，写程序的难度也越来越大，不是以前的数据通过web页面可提交保存到数据库并且能查询出来即可。

       2、必须有一套强壮权限控制系统

       现在做web系统，一定要有强壮的权限控制机制，不仅要控制url，更要控制函数、数据等资源。如表格所示的几条都是由于权限没控制好导致，因此要做一个web系统，其权限控制一定要强壮而且灵活。

5. 不正确的访问控制（授权） 22. 资源分配没有限制 21. 对关键资源的错误权限分配(22) 19. 关键函数缺乏身份验证

       3、须有统一的错误处理机制

       由于很多错误、异常都是不可预料的，因此即使程序员做了很多错误处理，测试的时候也都是被程序本身捕捉到了，但是用户使用的时候却不断地抛出其它的错误、异常，而且往往会暴露关键信息。诸如：jsp容器是tomcat，tomcat版本号是多少，数据库是oracle，table名称是什么，操作了table的哪些field等。因此，web开发必须进行统一的错误处理，程序员未自行处理的错误、异常，开发平台一定须处理掉。

       4、关键性的数据录入、条件必须在服务端校验

       数据校验很多开发人员都会考虑到而且也会处理，比如：*必须录入，长度要满足多少，类型必须是什么等等，但是大部分只是在前端js处理了下，就传给服务器端，服务器端直接提交了。跨站点脚本攻击、sql注入、跨站点请求伪造、在安全决策中依赖不可信的输入等如在服务器端校验，则可有效避免。

       5、敏感信息一定要加密

       敏感信息不仅在传输途中要加密，而且存储在数据库中也应加密，如登录口令等。