SQL注進(jìn)縫隙是在今朝的報復(fù)打擊中最常被濫用的縫隙，也是最等閑修復(fù)的縫隙。按照Veracode最新軟件安然狀況陳述顯示，三分之一的利用法度中仍然存在SQL注進(jìn)縫隙，并且這個數(shù)量趨于不變，這反應(yīng)了呵護(hù)軟件安然仍然有漫長而艱巨的道路要走。
Veracode發(fā)現(xiàn)，此前SQL注進(jìn)縫隙數(shù)面前目今降的趨勢此刻已根基處于擱淺狀況，32%的Web利用法度仍然存在SQL注進(jìn)縫隙。Veracode公司研究副總裁Chris Eng暗示：“之前的陳述顯示SQL注進(jìn)縫隙閃現(xiàn)出降落的趨勢，可是幅度不大年夜，每個季度降落1%擺布，而此刻已趨于不變?！边@類安穩(wěn)的趨勢也多是因為呈現(xiàn)了之前沒有被Veracode查抄過的新利用法度。
Eng暗示：“SQL注進(jìn)縫隙的環(huán)境可能已變得有點糟，但假定你從頭利用法度的角度來看，其實不是如許。安然行業(yè)并沒有突然遏制存眷這些縫隙或修復(fù)它們?！?/P>
Veracode在其陳述中還作出猜想：本年大年夜約有30%的泄漏變亂將操縱SQL注進(jìn)，并且，因為此刻報復(fù)打擊手藝信息很等閑獲得，這將導(dǎo)致呈現(xiàn)更多“平常黑客”。例如，谷歌搜刮“SQL注進(jìn)報復(fù)打擊”將會返回174萬個搜刮成果，包含視頻和報復(fù)打擊指導(dǎo)信息。
Veracode還發(fā)現(xiàn)，在利用法度初次提交到Veracode的掃描辦事時，70%的企業(yè)利用法度未能遵循該公司的安然政策。隨后這個數(shù)字并沒有太大年夜改變。
別的，按照Cenzic近似的陳述顯示，其往年測試的利用法度中，99%的利用法度包含一個或多個嚴(yán)重縫隙。在2012年，每個利用法度中縫隙數(shù)量標(biāo)中位數(shù)是13，而2011年為16。該陳述稱：“但也有好動靜，良多這些縫隙比較等閑被利用法度安然團(tuán)隊檢測、禁止和修復(fù)?！痹撽愂鲞€發(fā)現(xiàn)，跨站腳本是最多見的縫隙(26%的利用法度)，其次是信息泄漏(16%)和會話治理(16%)，和身份驗證和授權(quán)(13%)。Cenzic發(fā)現(xiàn)6%的法度中包含SQL注進(jìn)縫隙。
其他利用法度安然公司也看到了一些好轉(zhuǎn)的跡象。WhiteHat Security初創(chuàng)人兼首席手藝官Jeremiah Grossman暗示，其公司在過往兩三年中發(fā)現(xiàn)SQL注進(jìn)縫隙在降落，在2011年只有12%的網(wǎng)站包含這類縫隙，而2012年僅為7%。
WhiteHat和Veracode的查詢拜訪成果之間的差別多是因為他們掃描的利用法度類型的不合，前者查抄的是主網(wǎng)站，而后者是查抄Web利用法度。即便如斯，報復(fù)打擊者需要的只是一個可操縱的縫隙。Grossman稱，“只需要一個SQL注進(jìn)縫隙，報復(fù)打擊者的方針凡是不是主網(wǎng)站，而是次級網(wǎng)站。但總的來講，環(huán)境正在改良，當(dāng)然速度不快?！盙rossman暗示，復(fù)雜年夜的軟件縫隙標(biāo)題問題也詮釋了相對遲緩的清理過程。
按照Veracode陳述顯示，在第一次和第二次掃描之間，對SQL注進(jìn)縫隙，基于Java的利用法度獲得了16%的改良，二隊跨站腳本縫隙獲得了14%的改良，.NET也相當(dāng)不錯，別離為25%和15%。Eng暗示：“這表白，針對某些類型的縫隙，或許某些說話供給更好的內(nèi)置呵護(hù)，例如，.NET有更多針對跨站腳本的內(nèi)置呵護(hù)。”
Veracode和Cenzic的陳述都發(fā)現(xiàn)移動利用法度安然環(huán)境很糟，一個很大年夜的標(biāo)題問題在于這些利用法度對加密密鑰的措置。約64%的Android和58%的iOS利用法度存在加密機(jī)制標(biāo)題問題，例如加密密鑰和暗碼被硬編碼到利用法度。別的，移動利用法度在需要時沒有益用SSL。
Cenzic的托管辦事小組發(fā)現(xiàn)移動利用法度存在的首要安然標(biāo)題問題包含輸進(jìn)驗證(21%)、會話治理(11%)和加害隱私(25%）。