CWE前25名

Rank	ID	Name
[1]	CWE-119	Improper Restriction of Operations within the Bounds of a Memory Buffer
[2]	CWE-79	Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
[3]	CWE-20	Improper Input Validation
[4]	CWE-200	Information Exposure
[5]	CWE-125	Out-of-bounds Read
[6]	CWE-89	Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')
[7]	CWE-416	Use After Free
[8]	CWE-190	Integer Overflow or Wraparound
[9]	CWE-352	Cross-Site Request Forgery (CSRF)
[10]	CWE-22	Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
[11]	CWE-78	Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')
[12]	CWE-787	Out-of-bounds Write
[13]	CWE-287	Improper Authentication
[14]	CWE-476	NULL Pointer Dereference
[15]	CWE-732	Incorrect Permission Assignment for Critical Resource
[16]	CWE-434	Unrestricted Upload of File with Dangerous Type
[17]	CWE-611	Improper Restriction of XML External Entity Reference
[18]	CWE-94	Improper Control of Generation of Code ('Code Injection')
[19]	CWE-798	Use of Hard-coded Credentials
[20]	CWE-400	Uncontrolled Resource Consumption
[21]	CWE-772	Missing Release of Resource after Effective Lifetime
[22]	CWE-426	Untrusted Search Path
[23]	CWE-502	Deserialization of Untrusted Data
[24]	CWE-269	Improper Privilege Management
[25]	CWE-295	Improper Certificate Validation

Rank	ID	Name
[1]	CWE-119	内存缓冲区范围内的操作限制不正确
[2]	CWE-79	网页生成过程中输入的中和不正确（“跨站点脚本”）
[3]	CWE-20	输入验证不正确
[4]	CWE-200	信息披露
[5]	CWE-125	越界读取
[6]	CWE-89	SQL命令中使用的特殊元素的不正确中和（“SQL注入”）
[7]	CWE-416	释放后使用
[8]	CWE-190	整数溢出或环绕
[9]	CWE-352	跨站点请求伪造（CSRF）
[10]	CWE-22	路径名对受限制目录的限制不正确（“路径遍历”）
[11]	CWE-78	操作系统命令中使用的特殊元素的不正确中和（“操作系统命令注入”）
[12]	CWE-787	越界写入
[13]	CWE-287	身份验证不正确
[14]	CWE-476	空指针取消引用
[15]	CWE-732	关键资源的权限分配不正确
[16]	CWE-434	不受限制地上载危险类型的文件
[17]	CWE-611	XML外部实体引用的限制不正确
[18]	CWE-94	代码生成控制不当（“代码注入”）
[19]	CWE-798	硬编码凭证的使用
[20]	CWE-400	不受控制的资源消耗
[21]	CWE-772	有效生存期后缺少资源释放
[22]	CWE-426	不受信任的搜索路径
[23]	CWE-502	不可信数据的反序列化
[24]	CWE-269	权限管理不当
[25]	CWE-295	证书验证不正确

帮助消除前25个软件错误的资源

SANS应用程序安全课程旨在通过提供世界级的教育资源来设计、开发、采购、部署和管理安全软件，将安全性深入人心。应用程序安全系是具有数十年应用程序安全经验的实战人员。我们课程中涵盖的概念将适用于您返回工作岗位当天的软件安全计划：

SANS维护一个应用程序安全网络人才评估，该评估衡量安全编码技能，允许程序员确定其安全编码知识的差距，并允许买家确保外包程序员有足够的编程技能。组织可以在https://www.sans.org/cybertalent/assessment-detail?msc=top25hp#appsec。

SANS安全意识开发人员产品根据需要提供精确的软件安全意识培训，所有这些都是在您的办公桌上进行的。应用安全意识培训包括30多个模块，平均7-10分钟，最大限度地提高学习者的参与度和保持力。这些模块涵盖了PCI第6.5节法规遵从性主题的全部广度和深度，以及对安全软件开发非常重要的项目。

MITRE在美国国土安全部国家网络安全部门的支持下维护CWE（Common Weakness Enumeration）网站，详细描述前25个软件错误，并提供减轻和避免这些错误的权威指导。该站点还包含700多个额外软件错误、设计错误和架构错误的数据，这些错误可能导致可利用的漏洞。CWE网站

软件保证卓越代码论坛（成员包括EMC、Juniper、Microsoft、Nokia、SAP和Symantec）已出版了两本优秀的出版物，概述了软件保证的行业最佳做法，并为实施安全软件开发的经验证方法提供了实用建议。

安全软件开发基本实践第3版

作为DHS风险缓解工作的一部分，为了提高网络资产的弹性，软件保证计划旨在减少软件漏洞，最大限度地减少利用，并解决如何以可预测的执行方式定期获取、开发和部署可靠和可信赖的软件产品，以及提高诊断能力分析系统是否存在可利用的弱点。

讨论：请加入知识星球【首席架构师圈】或者小号【jiagoushi_pro】