代码审计技巧：漏洞及关键词

漏洞名称：密码硬编码、密码明文存储
关键词查找：password 、pass、jdbc

漏洞名称：XSS
关键词查找：getParamter、<%=、param.

漏洞名称：SQL 注入
关键词查找：Select、Dao 、from 、delete 、update、insert

漏洞名称：任意文件下载
关键词查找：download 、fileName 、filePath、write、getFile、getWriter

漏洞名称： 任意文件删除
关键词查找：Delete、deleteFile、fileName 、filePath

漏洞名称： 文件上传
关键词查找：Upload、write、fileName 、filePath

漏洞名称：命令注入
关键词查找：getRuntime、exec、cmd、shell

漏洞名称： 缓冲区溢出
关键词查找：strcpy,strcat,scanf,memcpy,memmove,memeccpy
Getc(),fgetc(),getchar;read,printf

漏洞名称： XML 注入
关键词查找：DocumentBuilder、XMLStreamReader、SAXBuilder、SAXParser、SAXReader 、XMLReader、SAXSource 、TransformerFactory 、SAXTransformerFactory 、SchemaFactory

漏洞名称：反序列化漏洞
关键词查找：ObjectInputStream.readObject、ObjectInputStream.readUnshared、XMLDecoder.readObject、Yaml.load 、 XStream.fromXML 、 ObjectMapper.readValue 、JSON.parseObject

漏洞名称：url 跳转
关键词查找：sendRedirect、setHeader、forward

漏洞名称：不安全组件暴露
关键词查找：activity 、 Broadcast Receiver 、 Content Provider 、 Service 、inter-filter

漏洞名称：日志记录敏感信息
关键词查找： log log.info logger.info

漏洞名称：代码执行
关键词查找：eval、system、exec

具体可参考链接：https://blog.csdn.net/qq_41770175/article/details/93486383