- 博客(7)
- 收藏
- 关注
RSS订阅原创 CWE ID 611：Improper Restriction of XML External Entity Reference
问题描述XML文档可选地包含文档类型定义 (DTD)，除其他功能外，它还支持XML实体的定义，可以通过以URI的形式替换字符串来定义实体，XML解析器可以访问此URI的内容并将这些内容嵌入回XML文档中以供进一步处理。但当URI解析为预期控制范围之外的文档，会导致程序将不正确的文档嵌入到其输出中。程序通过使用 file:// URI 定义外部实体的XML文件，攻击者就可以修改URI来获取本地文件内容，例如，“file:///c:/winnt/win.ini”之类的 URI 指定（在 Windows中）文
2021-08-13 15:33:27
1010
原创 CWE ID 259：Use of Hard-coded Password
问题描述硬编码密码，是指在程序中采用硬编码方式处理密码。这种处理方式不易于程序维护，在程序投入使用后，无法在不手动修改程序或以其他方式修补软件的情况下更改或禁用它，一旦密码泄露，知道该密码的任何人都可以访问该程序。另一方面，硬编码密码意味着如果攻击者能够访问应用程序的字节码，利用一些反编译工具，也可以轻易获得密码。Bad CodeString userName = "root";String password = "123456";Connection conn = DriverManager
2021-08-13 11:26:49
1373
原创 CWE ID 117：Improper Output Neutralization for Logs
问题描述日志伪造漏洞，攻击者通过伪造或其他方式将恶意数据追加到日志内容中，可能会导致日志文件中的信息发生偏差，受到破坏的日志文件可用于掩护攻击者的跟踪轨迹，甚至还可以牵连第三方来执行恶意行为。最糟糕的情况是，攻击者可能向日志文件注入代码或者其他命令，利用日志处理应用程序中的漏洞。Bad Codelogger.info("response data : {} ", responseBean.getData());解决方案logger.info("response data : {} ", Enco
2021-08-11 17:42:58
986
原创 CWE ID 470：Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection‘)
问题描述不安全的反射漏洞，是指应用程序使用具有反射功能的外部输入来选择要使用的类或代码，可能被攻击者利用而输入或选择不正确的类或代码。攻击者可能通过该漏洞，执行未经授权的代码或命令、改变执行逻辑、读取应用程序数据等，严重的还会导致应用程序崩溃、退出或重启。Bad CodeClass<?> clz = Class.forName(className);解决方案Class<?> clz = Class.forName(Normalizer.normalize(classNa
2021-08-02 14:42:51
581
原创 CWE ID 338：Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG)
问题描述产品在安全上下文中使用了伪随机数生成器（PRNG），但加密性不强。Bad Code// ANTI-PATTERN, do not copy-paste// On windows, default constructor would pick SHA1PRNG algorithm.SecureRandom random1 = new SecureRandom() ; // unseeded random objectrandom1.setSeed(System.currentTimeMil
2021-08-02 11:22:15
1824
原创 CWE ID 113: Improper Neutralization of CRLF Sequences in HTTP Headers (‘HTTP Response Splitting‘)
CWE ID 113: Improper Neutralization of CRLF Sequences in HTTP Headers (‘HTTP Response Splitting’)问题描述HTTP响应拆分缺陷，当调用一个存在该缺陷的请求时，很容易受到攻击，将不受信任的内容写入HTTP请求头中，导致缓存中毒和跨站点脚本攻击。解决方案1、输入校验注意规范构建 HTTP 请求头，避免使用未经验证的输入数据，对构建内容进行合法校验，如：设定编码规范（UTF-8）、过滤特殊符号（"\n", “
2021-07-28 13:34:18
837
原创 HttpClient工具类（基于HttpClient4.5+）
HttpClient工具类（基于HttpClient4.5+）1、pom添加httpclient依赖2、HttpClientUtils 工具类实现代码在实际开发中会遇到RPC的场景，我们可以根据实际业务需求，选择合适的RPC框架，当然也可以自己封装一个工具类来实现。以下工具类HttpClientUtils基于HttpClient4.5+1、pom添加httpclient依赖<dependency> <groupId>org.apache.httpcomponents&
2021-07-06 11:17:35
991
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人