Компания Veracode (http://en.wikipedia.org/wiki/Veracode), специализирующаяся на разработке средств для проведения аудита безопасности, опубликовала (http://info.veracode.com/state-of-software-security-report-v... результаты исследования кода около 10 тысяч различных приложений, проверенных за последние 6 месяцев в cloud-сервисе статического анализа кода, развиваемом данной компанией. Всего было проанализировано несколько миллиардов строк кода, который предоставлен как проприетарными, так и открытыми проектами. По данным отчета только 16% из всех приложений смогли пройти тестирование с первого раза, в остальных случаях были выявлены те или иные проблемы с безопасностью.

При аналогичном исследовании проведённом полгода назад проверку сразу прошли 42% приложений, столь значительное различие объясняется ужесточением требований к тестовым проверкам, в частности, уязвимости XSS и "SQL Injection" более не относятся к категории незначительных, так как часто становятся причиной у...

URL: http://threatpost.com/en_us/blogs/insecure-applications-we-a...
Новость: http://www.opennet.me/opennews/art.shtml?num=32500

• Исследование показало, что 84% приложений содержат потенциал...,Аноним, 14:10 , 08-Дек-11
  • Исследование показало, что 84% приложений содержат потенциал...,ZloySergant, 14:19 , 08-Дек-11
    • Исследование показало, что 84% приложений содержат потенциал...,Аноним, 15:12 , 08-Дек-11
      • Исследование показало, что 84% приложений содержат потенциал...,ZloySergant, 15:59 , 08-Дек-11
        • Исследование показало, что 84% приложений содержат потенциал...,Michael Shigorin, 00:43 , 09-Дек-11
          • Исследование показало, что 84% приложений содержат потенциал...,pavlinux, 11:28 , 09-Дек-11
  • Исследование показало, что 84% приложений содержат потенциал...,terr0rist, 15:50 , 08-Дек-11
• Исследование показало, что 84% приложений содержат потенциал...,Анонимист, 14:26 , 09-Дек-11
• Исследование показало, что 84% приложений содержат потенциал...,iCat, 18:02 , 09-Дек-11
• Исследование показало, что 84% приложений содержат потенциал...,unera, 22:58 , 09-Дек-11
  • Исследование показало, что 84% приложений содержат потенциал...,unera, 22:59 , 09-Дек-11
  • Исследование показало, что 84% приложений содержат потенциал...,Michael Shigorin, 22:28 , 11-Дек-11

О, новоиспеченные капитаны Очвидность провозгласили что оказывается, в программах бывают баги. Некоторые из них даже затрагивают вопросы безопасности.

//остальные 16% программ - хелловорлды :)

>О, новоиспеченные капитаны Очвидность провозгласили что оказывается, в программах бывают баги. Некоторые из них даже затрагивают вопросы безопасности.
>//остальные 16% программ - хелловорлды :)

Хелловорд с качественной проверкой (!) на возможные баги - тот еще баттхерт. Видел где-то на просторах сети. Уровень явно не для новичка.

Вы случайно не об этом: http://habrahabr.ru/blogs/programming/75971/ ?

>Вы случайно не об этом: http://habrahabr.ru/blogs/programming/75971/ ?

Похоже, но не то.

> Похоже, но не то.

http://www.gnu.org/s/hello/? ;-)

Там не "полный" Unix-way, там нет обработчика сигналов. :)

Остальные 16% плохо исследовали!

Программы пишут программисты.
Сложность программы растет до тех пор пока не превысит возможности программиста.
84% программистов испытывают overflow :)

Чрезвычайное важное и неожиданное исследование. Главное - очень нужное всем.
Может быть - пора завести рубрику "брЕтанкийэ учОныйэ"?
Нет, я не против исследований, но я против "сферично-ваккуумных" работ.

Перед релизом lenny в Debian я набросал скриптик который обошел все пакеты и находил (простым grep'ом) места где получается подстава под уязвимость атаки симлинками.

то есть запись

что-то > предопределенное-имя-файла-в-/tmp

получилось около 500 пакетов на мой самый простой grep. проведя репорта что выдал grep было написано порядка 250 багрепортов уровня RC на все эти пакеты.

сколько визгу поднялось... меня даже хотели из DD исключить, дескать я торможу выход релиза Debian. однако в итоге признали и все баги поправили.

ну так вот. если взять учебник и по нему пойти искать уязвимости прям по пакетам, то не удивлюсь что будет больше 84%.

s/(проведя) (репорта)/$1 аудит $2/

> Перед релизом lenny в Debian я набросал скриптик

Спасибо.