vulnerabilities-stats-zh.md
August 9, 2016 · View on GitHub
Hackerone 公开漏洞统计
目前为止，Hackerone 平台已经发现 1731 个公开的漏洞，主要来自 Twitter、Uber、Dropbox、Github 等公司。其中 8 个已经删除，9 个来自互联网或者特定的语言，剩下的 1714 个中，有 1359 个我们可以通过代码或者人工的方式进行分类。
按照错误的类型划分
| 类型 | 数量 | 占比 |
|---|---|---|
| 用户输入过滤 | 481 | 27.8 |
| 其他代码问题 | 549 | 31.7 |
| 配置问题 | 325 | 18.8 |
| 无法归类+信息+垃圾 | 376 | 21.7 |
按照发生的频率排序
其中 1/3 的问题与 XSS、不安全的数据引用 (数据泄露) 或者忘记设置 CSRF token 有关，这个 页面 列举的这些问题非常有趣，值得一读.
| 类型 | 数量 | 占比 |
|---|---|---|
| XSS | 375 | 21.87 |
| 非安全引用 + 数据泄露 | 104 | 6.06 |
| CSRF Token | 99 | 5.77 |
| 开放重定向 | 59 | 3.44 |
| 信息/源代码泄露 | 57 | 3.32 |
| DNS 配置错误 + Apache/Nginx + 子域名接管 + Open AWS_S3 | 44 | 2.56 |
| 不正确的 session 管理/固定 | 39 | 2.27 |
| TLS/SSL/POODLE/Heartbleed | 39 | 2.27 |
| HTML/JS/XXE/内容注入 | 37 | 2.15 |
| HTTP 头信息问题 | 34 | 1.98 |
| 空指针 + 段错误 + 在 free() 之后使用内存 | 33 | 1.92 |
| DMARC/DKIM/邮件 SPF 设置 | 31 | 1.8 |
| SQL 注入 | 28 | 1.63 |
| 点击劫持 | 27 | 1.57 |
| 不正确的 cookie 使用 (secure/httpOnly/暴露) | 25 | 1.45 |
| 路径暴露 | 25 | 1.45 |
| 开放权限 | 24 | 1.4 |
| 暴力破解 | 24 | 1.4 |
| 内容欺诈 | 20 | 1.16 |
| 缓冲区溢出 | 20 | 1.16 |
| 拒绝服务 | 19 | 1.1 |
| 服务端请求伪造 | 18 | 1.05 |
| Adobe Flash 漏洞 | 18 | 1.05 |
| 用户/信息 枚举 | 17 | 0.99 |
| 远程代码执行 | 15 | 0.87 |
| 密码重置 token 过期/尝试/其他 | 13 | 0.75 |
| 整型溢出 | 11 | 0.64 |
| 版本泄露 | 11 | 0.64 |
| CSV 注入 | 10 | 0.58 |
| 权限放大 | 9 | 0.52 |
| OAuth 状态/泄露和其他问题 | 9 | 0.52 |
| 密码策略 | 7 | 0.4 |
| CRLF | 7 | 0.4 |
| python 语言 | 6 | 0.35 |
| 单向攻击 | 6 | 0.35 |
| 文件上传类型/大小/存储位置 过滤 | 6 | 0.35 |
| Captcha | 5 | 0.29 |
| 远程/本地 文件包含 | 4 | 0.23 |
| 目录列表 | 4 | 0.23 |
| 路径遍历 | 4 | 0.23 |
| 远程文件上传 | 4 | 0.23 |
| （WEB表单）开启自动填充 | 4 | 0.23 |
| 通过引用泄露 | 3 | 0.17 |
| Pixel Flood Attack | 3 | 0.17 |
| 输入控制字符 | 2 | 0.11 |
一些特殊的漏洞类型
- 竞态条件漏洞
- Pixel Flood Attack
- IDN Homograph Attack
- 输入控制字符后输入一些有趣的东西