今天開始來講講漏洞有哪些種類呢？每個漏洞研究人員對於同樣一個漏洞的描述方法都不盡相同，對於漏洞的種類要如何區分，以及分到多細一定有更多的爭論，今天要介紹的就是一個由之前提過維運CVE漏洞編號的MITRE公司所維運的另一個計畫，叫做通用弱點列舉 (Common Weakness Enumeration, CWE)計畫。

CWE這個計畫中維護了一個軟體弱點的列表，而這個計劃的主要目的是希望能夠建構一個描述軟體存在於架構、設計或程式碼中安全威脅的通用語言，而且能夠成為一個軟體安全工具在修補弱點時能參照的標準，更重要的是，能夠透過這樣的列表，將每個弱點的特徵、緩解方式及預防方式記錄下來，讓所有人能夠參考應用。

CWE現在其實被蠻多公司做為參考使用，他們也在2010及2011年時與SANS Institute合作發布一份2011前25危險的軟體錯誤清單（2011 CWE/SANS Top 25 Most Dangerous Software Errors，連結：https://cwe.mitre.org/top25/ ），這些被列出來的軟體弱點都有共同的特色，那就是容易被找到及利用，且攻擊者也可輕易利用這些弱點來掌控機器、竊取資料及造成服務中斷，而發布這份清單的目的就是希望能幫助程式設計師在撰寫程式碼時，能夠避免這些漏洞的產生。當然經過了這麼多年，這些弱點的排名順序或是否應有新進落榜之弱點等，可能都需要重新調整，但整體而言，這份列表還是非常值得參考的資料，畢竟很多程式設計師連表上的弱點都避免不了。這份列表不只程式設計師需要看，軟體專案管理師、軟體測試者及軟體客戶其實也最好能夠了解略列表的弱點內容，才可以避免軟體開發至完成間的任一環節疏漏，導致弱點存在於軟體中。

稍微離題一下，剛剛提到的SANS Institute是個提供實體或線上資安技能教育訓練頗知名的公司，而他們家自己都戲稱自己是海報公司，原因是他們花很多時間整理了很多類似資安技能的重點整理或是小密技的海報，例如滲透測試時應該注意的重點等等，算是蠻實用的小工具，而且都有提供PDF下載，如果有興趣的可以過去下載看看，這些海報的實體版好像一份也要25美金的呢，不過有些海報要先申請為會員才能下載就是，網址：https://www.sans.org/security-resources/posters/ 。

好回到Top 25 Most Dangerous Software Errors，下面就是這25項弱點內容：

相信裡面很多弱點都是大家常常耳聞的軟體弱點常客，既然我們對他們都不陌生，更不用說時時刻刻伺機而動對軟體嘗試進行攻擊的攻擊者們，所以不小心真的不行啊！

今天先介紹到這邊，明天會再進一步介紹如何閱讀CWE的弱點資訊喔～

參考資料：
[1] https://cwe.mitre.org/
[2] https://cwe.mitre.org/top25/
[3] https://www.sans.org/security-resources/posters/