漏洞10：数字错误 Numeric Errors

数字错误可以指几类不同的问题，包括：

• 包围错误。

• 数组索引的不正确验证。

• 整数溢出。

• 字节排序不正确。

• 数字类型之间的转换不正确。

• 数字错误占所有漏洞的3%。

• 不正确的计算。

数字错误漏洞的一个常见位置是在数学计算。另外，如果数据从一个溢出，它就会受到这种漏洞的影响。

漏洞9：密码学问题Cryptographic Issues

与密码学的使用有关的弱点，经常让许多开发者感到困惑。实践中有很多动作可以导致密码学问题，包括：

• 敏感数据的加密缺失。

• 密钥管理错误。

• 缺少所需的加密步骤。

• 加密强度不足。

• 使用不安全或有风险的加密算法。

• 使用可逆的单向散列。

• 未正确使用随机初始化。

• 不适当地使用RSA算法。

漏洞8：代码注入Code Injection

漏洞7：代码Code

将代码作为自己的漏洞可能看起来很奇怪，但我们谈论的是任何不属于特定类别的东西——所以认为这是一个包罗万象的漏洞。形如：

• 密码管理不善、存储明文密码、硬编码密码。
• API 合同处理不当。
• 错误处理不当或缺失。
• 不恰当地处理时间和状态。
• 代码错误占所有漏洞的 4.4%。
• 代码生成问题。

重要的是，开发人员不要自己进行加密——这显然不值得。，因为逆向工程非常容易，当它的表现不如预期时，这也将让许多工程师感到沮丧和尴尬。

漏洞6：资源管理Resource Management Errors

错误资源管理错误包括许多事情，如：

• 系统资源管理不当。

• 不受控制的资源消耗。

• 将私人资源转移到新领域。

• 资源释放或关闭不当。

• 非对称资源消耗。

• 资源锁定。

•  双重免费，免费后使用。

•  资源池不足。

• 没有非堆内存。

尽管这些问题在 C 和 C++ 等语言中更为常见，但牢记它们始终很重要。用Python和Java编码的人常常认为他们对资源管理错误是免疫的，但事实并非如此。在这些语言中，很容易在不知不觉中达到内存耗尽的地步，而没有意识到它正在发生。

漏洞5：不当的访问控制 Improper Access Control

不当的访问控制是指软件不限制或错误地限制未授权的参与者对资源的访问。包括：

• 权限管理不当。

• 所有权管理不当。

• 授权不当。

• 不正确的用户管理。

• 不正确的身份验证。

• 来源验证错误。

• 对预期端点的通信通道限制不当。

漏洞 4：输入验证不当Improper Input Validation

不正确的输入验证包括从可能影响程序控制流或数据流的任何内容中获取不正确或缺失的信息。包括以下内容：

• 不正确的路径名限制。

• 不正确的路径名等效解析。

• 配置设置的外部控制。

• 不适当的中和（命令注入、SQL 注入、跨站点脚本等）。

• 缺少 XML 验证。

• 不正确的日志无效化。

• 对内存缓冲区边界的限制不当。

• 不正确的数组索引验证。

• 复制到缓冲区而不检查大小。

• 不正确的空终止。

通常来说，开发人员从外部世界获取信息的任何地方都可能包含在此漏洞中。

漏洞3：信息泄露Information Exposure

信息泄露是指有意或无意地将信息透露给未经明确授权的行为者。这种信息暴露往往是通过以下方式发生的。如：

• 发送的数据。

• 数据查询。

• 差异性。

• 错误信息。

• 调试信息。

• 进程环境。

• 缓存。

• 索引私人数据。

开发人员往往会忘记通过错误消息和调试消息以及任何可能会进入日志文件的信息而泄露信息。出于这个原因，开发人员需要注意日志文件中的所有内容，并确信那里没有任何可能对攻击者有价值的信息。

漏洞2：访问控制Access Control

访问控制是与管理权限、特权或其他安全功能有关的任何弱点。包括：

• 沙盒问题（chroot环境）。

• 权限问题（不适当的继承，允许的默认值，颠覆权限的符号链接。不当的权限保存，等等）。

• 不当的所有权管理。

• 不当的访问控制

漏洞1：内存缓冲区问题Memory Buffer Problems

当软件可以读取或写入内存缓冲区边界之外的位置时，就会出现内存缓冲区问题。包括：

• 在复制时不检查输入的大小。

• 允许写到任意位置的错误。

结语：如何在黑客虎视眈眈中保持安全

通过持续关注上述 Top10 漏洞，可以确保代码保持相对安全。 当然，及时发现了解资产的漏洞并加载补丁也是至关重要的——因为新的问题不断会被发现。

码上报名

2023第六届无人驾驶及智能驾舱中国峰会，5月11-12日，上海

码上报名

AutoSec 7周年年会暨中国汽车网络安全与数据安全合规峰会，5月11-12日，上海

更多文章

智能网联汽车信息安全综述

华为蔡建永：智能网联汽车的数字安全和功能安全挑战与思考

汽车数据合规要点

车载以太网技术发展与测试方法

车载以太网防火墙设计

SOA：整车架构下一代的升级方向

软件如何「吞噬」汽车？

汽车信息安全 TARA 分析方法实例简介

汽车FOTA信息安全规范及方法研究

联合国WP.29车辆网络安全法规正式发布

滴滴下架，我却看到数据安全的曙光

从特斯拉被约谈到车辆远程升级（OTA）技术的合规

如何通过CAN破解汽

会员权益: (点击可进入)谈思实验室VIP会员

END

微信入群

谈思实验室专注智能汽车信息安全、预期功能安全、自动驾驶、以太网等汽车创新技术，为汽车行业提供最优质的学习交流服务，并依托强大的产业及专家资源，致力于打造汽车产业一流高效的商务平台。

 

每年谈思实验室举办数十场线上线下品牌活动，拥有数十个智能汽车创新技术的精品专题社群，覆盖BMW、Daimler、PSA、Audi、Volvo、Nissan、广汽、一汽、上汽、蔚来等近百家国内国际领先的汽车厂商专家，已经服务上万名智能汽车行业上下游产业链从业者。专属社群有：信息安全、功能安全、自动驾驶、TARA、渗透测试、SOTIF、WP.29、以太网、物联网安全等，现专题社群仍然开放，入满即止。

扫描二维码添加微信，根据提示，可以进入有意向的专题交流群，享受最新资讯及与业内专家互动机会。

谈思实验室，为汽车科技赋能，推动产业创新发展！