检查Java项目中的漏洞

最新推荐文章于 2024-05-05 20:51:43 发布

cunxiedian8614

最新推荐文章于 2024-05-05 20:51:43 发布

阅读量581

点赞数

文章标签： java 开发工具

我与之交谈的许多开发人员似乎都认为安全是其他人的责任。网络人员，安全人员，不是他或她的人。我不是安全专家，但是当我从事项目工作时，我想相信安全也是我的责任。我可以做的一件事是，针对已知漏洞检查我在项目中使用的库。找到我后，我立即尝试对其进行升级。如果由于某种原因不可能，我至少知道这个问题。

在一个Java项目中，您可以将owasp插件添加到您的maven pom.xml中：

<plugin>
    <groupId>org.owasp</groupId>
    <artifactId>dependency-check-maven</artifactId>
    <version>4.0.2</version>
    <configuration>
        <cveValidForHours>12</cveValidForHours>
    </configuration>
    <executions>
        <execution>
            <goals>
                <goal>check</goal>
            </goals>
        </execution>
    </executions>
</plugin>

这将显示如下输出：

One or more dependencies were identified with known vulnerabilities in test-project:

microprofile-rest-client-api-1.0.jar (org.eclipse.microprofile.rest.client:microprofile-rest-client-api:1.0, cpe:/a:rest-client_project:rest-client:1.0) : CVE-2015-1820, CVE-2015-3448
deltaspike-core-api-1.8.0.jar (cpe:/a:apache:deltaspike:1.8.0, org.apache.deltaspike.core:deltaspike-core-api:1.8.0) : CVE-2017-17837
libthrift-0.9.2.jar (cpe:/a:apache:thrift:0.9.2, org.apache.thrift:libthrift:0.9.2) : CVE-2015-3254
stagemonitor-tracing-elasticsearch-0.87.6.jar (org.stagemonitor:stagemonitor-tracing-elasticsearch:0.87.6, cpe:/a:elasticsearch:elasticsearch:0.87.6) : CVE-2014-3120, CVE-2015-1427, CVE-2015-5531, CVE-2014-6439, CVE-2015-3337
jaeger-core-0.22.0-RC1-okhttp381.jar/META-INF/maven/org.apache.httpcomponents/httpclient/pom.xml (cpe:/a:apache:httpclient:4.2.5, org.apache.httpcomponents:httpclient:4.2.5) : CVE-2015-5262, CVE-2014-3577

就是这样。

from: https://dev.to//kgoedert/checking-for-vulnerabilities-on-your-java-projects-2h7a