I. INTRODUCTIONWeb applications are

I. INTRODUCTION
Web applications are the source of almost half of all
security vulnerabilities, representing 49% of all vulnerability
disclosures reported in IBM’s 2010 X-Force Trend and
Risk Report [12]. This is probably an undercount as many
organizations develop and deploy web applications in-house
whose vulnerabilities are not reported publicly. MITRE
found that the most common two vulnerability types since
2005 were cross-site scripting and SQL injection [5], which
are primarily found in web applications.
While worms that exploit network or operating system
vulnerabilities have largely disappeared, web applications
are regularly targeted by mass attacks such as the April 2011
LizaMoon mass SQL injection attacks [14]. Furthermore,
popular open source web applications such as WordPress
are the subject of mass attacks designed to inject malware
to infect users of their sites [24].
This study is a partial replication of our previous study of
vulnerabilities in fourteen open source PHP web applications
from 2006-2008 [23]. While replication of experiments is
important in all areas of empirical software engineering, it
is particularly important in studies of software security, due
to the rapidly evolving nature of the field, with new types of
vulnerabilities appearing each year. Software that is thought
to be secure one year is discovered to be insecure the next
due to an absence of measures to prevent a type of intrusion
not known before. There were no worries about cross-site
scripting (XSS) before most browsers supported Javascript
in the 1990s or about clickjacking until 2008.
Like the original study, this paper analyzes relationships
between software metrics and vulnerabilities measured using
a static analysis tool in fourteen of the most widely used
open source web applications, including WordPress and Mediawiki,
the software on which Wikipedia runs. We mined
the source code repositories of these applications to measure
vulnerability density and to collect a variety of software
metrics, including our security resources indicator metric as
well as traditional metrics such as code size and complexity.
This is the largest survey of web application security, both
in terms of code size and number of application users.
There are two important differences between this study
and our previous one. The first is that this study analyzes
the web applications for four years, from 2006-2010, instead
of two. The longer time span allows us to verify whether
the relationships we discovered between complexity and
vulnerabilities were the product of the state of source code in
2006-2008 or whether they hold more generally. The second
is the use of a more recent version of the Fortify Source
Code Analyzer (SCA) tool, which can identify 73 types of
vulnerabilities in PHP code as opposed to only 13 types of
vulnerabilities in the version we used in the original study,
enabling us to find latent vulnerabilities that missed in the
previous study.

結果 (中文) 1:

一.导言Web 应用程序是的几乎一半的所有来源安全漏洞，占 49%的所有漏洞在 IBM 的 2010 X 力趋势报告的披露和风险报告 [12]。这可能是作为许多漏报组织开发和部署 web 应用程序内部不公开报告的漏洞。米特雷发现，最常见的两种漏洞类型自2005 年是跨站点脚本和 SQL 注入 [5]，其中主要是在 web 应用程序中发现的。在蠕虫的同时，利用网络或操作系统漏洞很大程度上已经消失，web 应用程序经常遭到大规模的攻击，如 2011 年 4 月LizaMoon 大规模 SQL 注入式攻击 [14]。此外，流行的开源 web 应用程序如 WordPress主题的设计注入恶意软件的大规模袭击感染 [24] 他们网站的用户。这项研究是研究的我们以往部分复制十四个开源 PHP web 应用程序中的漏洞从 2006 年-2008 年 [23]。复制的实验进行时重要在所有领域的实证的软件工程，它由于是尤为重要的软件安全研究向字段中，使用新类型的迅速不断演变的性质每年出现的安全漏洞。思想的软件一年被发现不安全因素要安全的下一步由于缺乏措施，以防止入侵类型以前不知道。没有担心跨站点脚本 (XSS) 之前大多数浏览器支持 Javascript在九十年代或关于劫持直到 2008 年。像最初的研究中，本文分析了关系软件度量和漏洞之间使用的测量十四岁的最广泛使用的静态分析工具开放源代码的 web 应用程序，包括 WordPress 和 Mediawiki，关于维基百科运行的软件。我们采这些应用程序来测量的源代码库漏洞密度和收集各种软件度量标准，包括作为我们安全资源指标度量以及传统的指标，如代码大小和复杂性。这是 web 应用程序的安全性，最大的调查两个在代码大小和数量的应用程序用户。有这项研究的两个重要区别和我们以前的一个。第一是这项研究分析四年，从 2006年-2010 年的 web 应用程序相反两个。较长的时间跨度允许我们以验证是否我们发现复杂性之间的关系和漏洞是状态的源代码中的产物2006-2008 年或他们是否拥有更普遍。第二个是使用较新版本的巩固源代码分析仪 (SCA) 工具，可以确定 73 类型的而不是只有 13 种 PHP 代码中的漏洞我们在最初的研究中，所用的版本中的安全漏洞使我们能够找到潜在的漏洞，在错过了先前的研究。

結果 (中文) 3:

一、引言网络应用几乎是所有的一半安全漏洞，占49%的所有漏洞IBM的X-Force披露报告2010趋势风险报告[ 12 ]。这可能是一个低估了许多组织开发和部署网络应用程序内部没有公开报道的漏洞。切割发现最常见的2个漏洞类型2005是跨站脚本和SQL注入的[ 5 ]，这主要是在网络应用程序中发现的。而蠕虫，利用网络或操作系统漏洞已基本消失，网络应用经常被大规模攻击的目标，如四月2011lizamoon大规模SQL注入攻击[ 14 ]。此外，流行的开源Web应用程序，如WordPress被设计为注入恶意软件的大规模攻击的主题要感染他们的网站的用户[ 24 ]。这项研究是我们以前研究的部分复制十四开源的PHP Web应用程序的漏洞2006-2008年[ 23 ]。实验的复制是重要的是在所有领域的经验软件工程，它尤其重要的是在软件安全的研究，由于的领域迅速发展的性质，与新类型每年出现的漏洞。软件的思想一年被发现是不安全的下一个由于缺乏措施，以防止入侵类型以前不知道。无忧的跨站点脚本（XSS）在大多数浏览器支持JavaScript在上世纪90年代或劫持到2008。像原来的研究，本文分析了关系在软件度量和使用的漏洞之间一个静态分析工具，在十四个最广泛使用开放源代码的Web应用程序，包括WordPress和MediaWiki，维基百科运行的软件。我们采这些应用程序的源代码库来度量漏洞密度和收集各种软件指标，包括我们的安全资源指标指标以及传统的度量标准，如代码大小和复杂度。这是最大的网络应用程序安全性的调查在代码大小和应用程序用户的数量方面。这项研究有重要的区别和我们以前的。首先是这项研究分析Web应用四年，2006-2010年，而不是两。时间越长，我们可以验证是否我们发现了复杂性和漏洞是源代码的状态的产品2006-2008年或是否持有更普遍。第二是最近的一个版本的强化源的使用代码分析器（SCA）的工具，它可以识别73种类型在PHP代码中的漏洞，而不是只有13种在我们使用的版本中的漏洞的原始研究，使我们能够找到错过的潜在漏洞以前的研究。