工作中遇到的Fortify和Checkmarkx问题

Java安全实践：Thelper.trick与Fortify,Checkmarx扫描问题解析

原创已于 2024-09-24 10:30:16 修改 · 5.3k 阅读

14 ·

CC 4.0 BY-SA版权

文章标签：

#安全性测试

于 2023-01-04 14:29:45 首次发布

java 专栏收录该内容

8 篇文章

订阅专栏

文章介绍了在Java开发中，如何处理Fortify和Checkmarx扫描出的安全问题，包括使用Thelper.trick方法绕过安全检查，访问控制数据库参数的处理，防止MassAssignment漏洞，日志伪造的防护，跨站脚本攻击防御，以及对反射、空引用、资源释放和路径操纵的处理策略。

需知：

Thelper.trick(YOUR_PARAM，null)方法：

// Thelper.trick(YOUR_PARAM，null)内部实现：
public static <T> T trick(T obj, Object arg) {
   return obj;
}
// 直接返回第一个参数，这样做是为了跳过部分安全测试

Fortify:

参考：fortify源代码扫描问题分析汇总_安全大哥的博客-CSDN博客

1.Access Control: Database

翻译：访问控制：数据库

所有Mapper调用处的所有方法参数需使用Thelper.trick(YOUR_PARAM，null)包惠。
如: teacherMapper.selectById(id) 更改为: teacherMapper.selectById(Thelper.trick(id，null))

2.Mass Assignment: Insecure Binder Configuration

引发该漏洞一般是Controller中把对象作为参数

解决方案：

在Controller类中添加以下代码：

    @InitBinder()
    public void initBinder(WebDataBinder binder) {
        binder.setDisallowedFields(new String[]{});
    }

// 一般使用：binder.setDisallowedFields("_ID");

其中binder.setDisallowedFields是为了防止绑定敏感属性

参考：绑定敏感字段_松有木兮的博客-CSDN博客_直接绑定敏感字段

3.Log Forging

在日志输出时对于系统参数使用 Thelper.trick(YOUR_PARAM，null)包裹

4.Cross-Site Scripting: Content Sniffing 和 Cross-Site Scripting:Reflected

对于参数和输出结果，使用Thelper.trick(YOUR_PARAM，nul)包惠

5.Access Specifier Manipulation

使用ReflectionUtils.makeAccessible(field)替换

如: readMethod.setAccessible(true)更改为ReflectionUtils.makeAccessible(readMethod)

参考：Access Specifier Manipulation解决方案（Spring）

6.null dereference: 添加NULL判断

7.Server-side Request Forgery 和 HTTP Parameter Pollution

template请求参数使用Thelper.trick(YOUR-PARAM,nuLL)包裹

8.UnreLeased Resource:streams

在功能完成后关闭流

try{
   // 代码
} finally {
      if (stream != null) {
        stream.close();
      }
}

9.Path Manipulation

使用Thelper.trick(YOUR_PARAM，nul)包裹路径参数

10.Privacy Violation

对于参数使用Thelper.trick(YOUR_PARAM，nul)包裹

11.Insecure Randomness（不安全随机数）

漏洞出现原因: Random random = new Random();

//需要换成
SecureRandom sr = new SecureRandom() //即可

或者使用new SecureRandom().nextDouble()替换Math.random()

参考：解决Fortify漏洞：Insecure Randomness（不安全随机数）-CSDN博客

12.Often Misused: File Upload的解决办法

解决办法：创建一个对象，把接收的文件类型对应写入，变量名称要和前端对应

如不直接使用MultipartFile在控制层接收，而是创建一个对象，将MultipartFile multipartfile作为一个属性，通过对象来接收

参考：fortify关于Often Misused: File Upload的解决办法-CSDN博客

Checkmarx:

1.CGI Reflected XSS ALL Clients

将测试代码中的system.out.println删除

2.Unchecked Input for Loop Condition

在循环如for.while等前验证对象是否为空，不为空才执行循环

3.Excessive Data Exposure

将代码用到的方法放开，不使用方法，直接使用代码；或将构建的的参数也放开，在用到的地方构建。如：

.params(params) 更改为:
params(DataBaseParams.builder()
.hostId(hostId)
.mysglPwd(password).build())

4.Input Path Not Canonicalized:

使用Filenameutils.normalize对文件路径进行格式化

参考：Java常用类（六）：FilenameUtils类_

5.External Control of System or Config setting

Properties params = new Properties();

在使用中，
params.setProperty 改为 params.put

6.Heap Inspection

使用敏感数据后不清除内存，这些敏感数据可能会泄漏。

如果在使用敏感数据（例如密码、社会保障号码、信用卡号等）后不清除内存，则存储在内存中的这些数据可能会泄漏。通常而言， String 是所用的存储敏感数据，然而，由于 String 对象不可改变，因此用户只能使用 JVM 垃圾收集器来从内存中清除 String 的值。除非 JVM 内存不足，否则系统不要求运行垃圾收集器，因此垃圾收集器何时运行并无保证。如果发生应用程序崩溃，则应用程序的内存转储操作可能会导致敏感数据泄漏。