用那種語(yǔ)言寫(xiě)的應(yīng)用漏洞最嚴(yán)重？

 

　　如果你是一位靠 .NET、C++、Java、JavaScript、PHP 或 Python 吃飯的開(kāi)發(fā)者，那要注意了：一項(xiàng)新研究揭示了這些編程語(yǔ)言的主要安全漏洞。

 

　　靜態(tài)代碼分析安全公司 Veracode 近期發(fā)布了這些語(yǔ)言的漏洞類(lèi)型數(shù)據(jù)，這是該公司掃描了 13 萬(wàn)應(yīng)用程序的安全問(wèn)題后得到的報(bào)告。

 

　　該公司調(diào)查了用 .NET、C++、Java、JavaScript、PHP 或 Python 編寫(xiě)的應(yīng)用程序的漏洞趨勢(shì)。這些數(shù)據(jù)整合在 Veracode 的《軟件安全狀態(tài)第 11 卷（State of Software Security Volume 11）》報(bào)告中：

 

　　https://www.veracode.com/sites/default/files/pdf/resources/ipapers/security-flaw-heatmap/index.html。

 

　　Veracode 掃描 13 萬(wàn)個(gè)應(yīng)用程序后得到的漏洞類(lèi)型數(shù)據(jù)。

 

　　對(duì)于最常用的前端開(kāi)發(fā)語(yǔ)言 JavaScript，Veracode 發(fā)現(xiàn) 31.5% 的應(yīng)用至少有一個(gè)跨站腳本（XSS）漏洞，而用 PHP 寫(xiě)的應(yīng)用中有 74.6% 至少有一個(gè) XSS 漏洞。此外，71% 的 PHP 應(yīng)用存在加密問(wèn)題。

 

　　對(duì)于用 .NET 寫(xiě)的應(yīng)用，最主要的問(wèn)題是信息泄露——62.8% 的 .NET 應(yīng)用存在該問(wèn)題。C++ 應(yīng)用最大的問(wèn)題是錯(cuò)誤處理，占到了 66.5%。

 

　　至于 Java 應(yīng)用，首要問(wèn)題是 CRLF 注入（回車(chē)或換行注入），占受調(diào)查應(yīng)用的 64.4%。Python 應(yīng)用中最嚴(yán)重的安全問(wèn)題與加密相關(guān)，出現(xiàn)在 35% 的受調(diào)查應(yīng)用中。

 

　　每種語(yǔ)言的漏洞嚴(yán)重性也存在很大差別。Veracode 發(fā)現(xiàn)用 C++ 寫(xiě)的應(yīng)用中有 59% 存在非常嚴(yán)重的漏洞；而對(duì)于 PHP，這一數(shù)字為 52%。但是，用 JavaScript 寫(xiě)的應(yīng)用僅有 9.6% 有非常嚴(yán)重的漏洞，Java 應(yīng)用的數(shù)據(jù)為 24％。

 

　　Veracode 首席研究官 Chris Eng 解釋了不同語(yǔ)言漏洞趨勢(shì)不同的原因，以及如何修復(fù)它們以避免嚴(yán)重?fù)p失。

 

　　「從整體數(shù)據(jù)上看，我們這個(gè)行業(yè)過(guò)去十年來(lái)沒(méi)能消除任何一種漏洞類(lèi)別?！笶ng 說(shuō)，「沒(méi)有任何問(wèn)題完全消失。很多事情都在波動(dòng)，但看看平均情況，你會(huì)發(fā)現(xiàn)相比于其它指標(biāo)，這些數(shù)據(jù)更能反映語(yǔ)言選擇和語(yǔ)言流行程度的變化。我們看到 C++ 常見(jiàn)的緩存溢出問(wèn)題有下降的趨勢(shì)，但這并不是因?yàn)殚_(kāi)發(fā)者處理這些問(wèn)題的能力更強(qiáng)了，而是因?yàn)槭褂?C++ 進(jìn)行開(kāi)發(fā)的人變少了?！?/div>