CWE(Common Weakness Enumeration,通用缺陷枚举)

参考链接:https://cwe.mitre.org/

CWE(Common Weakness Enumeration,通用缺陷枚举)和CVE(Common Vulnerabilities & Exposures,通用漏洞和风险)都是在计算机软件安全领域中非常重要的公开数据网站。

CWE是由美国国土安全部国家计算机安全部门资助的软件安全战略性项目。它是一个完整的缺陷数据库,为组织技术堆栈的基于软件和硬件的安全性的弱点识别和修复提供了基线。CWE成立于2006年,建立之初分别借鉴了来自CVE等组织对缺陷概念描述和缺陷分类。

CVE则是一个由企业界、政府界和学术界综合参与的国际性组织,采取一种非盈利的组织形式,其使命是为了能更加快速而有效地鉴别、发现和修复软件产品的安全漏洞。CVE就好像是一个字典表,为广泛认同的信息安全漏洞给出一个公共的名称。

总的来说,CVE是用于标识和命名特定漏洞的标准,而CWE则是用于分类和描述可能导致漏洞的弱点类型的标准。这两个都是由美国国土安全部(DHS)网络安全和基础设施安全局(CISA)赞助¹。MITRE公司既定期发布业界广泛引用的软件产品漏洞库CVE,也公布并实时更新包括识别、减轻和阻止软件漏洞的源代码漏洞词典库CWE及相关通用标准。


CWE(Common Weakness Enumeration,通用缺陷枚举)数据库列出了许多常见的安全漏洞类型。以下是一些例子:

  1. 越界写入 (CWE-787):当应用程序在预期输入缓冲区的边界之外写入数据时,就会出现这种安全漏洞。当应用程序执行指针运算或更改索引以引用内存缓冲区之外的位置时,也可能导致该弱点。这种内存损坏通常会导致意外的代码执行、崩溃或数据损坏。

  2. 越界读取 (CWE-125):当应用程序可以读取预期输出缓冲区边界之外的数据时,就会出现 CWE-125 漏洞。攻击者可以从越界内存中读取敏感信息,以获取可用于绕过身份验证机制并利用其他弱点进行进一步攻击的秘密值。该漏洞还可能导致内存缓冲区溢出、分段错误,甚至系统崩溃。

  3. 输入中和不当 (CWE-79):也称为跨站点脚本 (XSS),当攻击者可以将恶意代码注入网站时,就会出现此漏洞,通常使用浏览器端脚本。该弱点在动态生成的网页中接受不受信任的数据而没有适当中和的应用程序中很常见。

  4. 输入验证不当 (CWE-20):CWE-20 弱点出现在接受输入数据但未正确验证所提供输入是否具有安全处理所需属性的应用程序中。当应用程序接收到更改的控制流路径时,攻击者可以制作访问有限资源或远程代码执行的意外输入。

  5. 特殊元素中和不当 (CWE-78):CWE-78 漏洞发生在使用上游组件提供的外部输入构建部分或整个操作系统命令的软件应用程序中。此漏洞也称为OS 命令注入,当应用程序未消除输入中存在的元素时,该漏洞处于活动状态,这些元素在发送到预期的下游组件时可能会修改命令。

以上只是一部分常见的 CWE 类型,实际上 CWE 数据库对超过600类和基本级别的弱点进行分类,最严重的类型列在CWE Top 25。

相关推荐
Suckerbin1 小时前
pikachu靶场-敏感信息泄露
网络·学习·安全·网络安全
思通数科AI全行业智能NLP系统9 小时前
AI视频技术赋能幼儿园安全——教师离岗报警系统的智慧守护
大数据·人工智能·安全·目标检测·目标跟踪·自然语言处理·ocr
明似水10 小时前
Flutter 弹窗队列管理:支持优先级的线程安全通用弹窗队列系统
javascript·安全·flutter
CYRUS_STUDIO11 小时前
使用 Dex2C 加壳保护 Android APK 代码
android·安全·逆向
一颗星星辰12 小时前
路由交换网络专题 | 第八章 | GVRP配置 | 端口安全 | 端口隔离 | Mux-VLAN | Hybrid
网络·安全
自由鬼12 小时前
高性能的开源网络入侵检测和防御引擎:Suricata介绍
网络·安全·网络安全·开源·系统安全·入侵检测
mon_star°15 小时前
搭建基于火灾风险预测与防范的消防安全科普小程序
安全·微信小程序·小程序·微信公众平台
神经毒素16 小时前
WEB安全--RCE--webshell bypass
网络·安全·web安全
程序猿chen19 小时前
量子跃迁:Vue组件安全工程的基因重组与生态免疫(完全体终局篇)
前端·vue.js·git·安全·面试·前端框架·跳槽
ALe要立志成为web糕手19 小时前
第十六周蓝桥杯2025网络安全赛道
安全·web安全·网络安全·蓝桥杯