搜索

[1190] 2018-06-13_开源软件源代码安全缺陷分析报告——框架类软件专题

文档创建者：s7ckTeam
浏览次数：56
最后更新：2025-01-16
2018-06-13_开源软件源代码安全缺陷分析报告——框架类软件专题 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 — — 框 架 类 软 件 专 题 C N C E R T 软 件 安 全   C N C E R T 风 险 评 估   2 0 1 8 - 0 6 - 1 3 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 — — 框 架 类 软 件 专 题 框 架 类 软 件 专 题 1 、 概 述 、 概 述 随 着 软 件 技 术 飞 速 发 展 ， 开 源 软 件 已 在 全 球 范 围 内 得 到 了 广 泛 应 用 。 数 据 显 示 ， 9 9 % 的 组 织 在 其 I T 系 统 中 使 用 了 开 源 软 件 。 开 源 软 件 的 代 码 一 旦 存 在 安 全 问 题 ， 必 将 造 成 广 泛 、 严 重 的 影 响 。 为 了 解 开 源 软 件 的 安 全 情 况 ， 为 了 解 开 源 软 件 的 安 全 情 况 ， C N C E R T 持 续 对 广 泛 使 用 的 知 名 开 源 软 件 进 行 源 代 码 安 全 缺 陷 分 析 ， 并 发 布 季 度 安 全 缺 陷 分 析 报 告 。 本 期 报 告 聚 焦 国 内 外 知 名 框 架 类 开 源 软 件 安 全 开 发 现 状 ， 通 过 多 款 知 名 框 架 类 开 源 软 件 产 品 的 安 全 缺 陷 ， 评 估 开 源 项 目 的 代 码 安 全 控 制 情 况 。 选 取 关 注 度 高 的 开 源 项 目 ， 结 合 缺 陷 扫 描 工 具 和 人 工 审 计 的 结 果 ， 对 各 开 源 项 目 安 全 性 进 行 评 比 。 2 、 被 测 开 源 框 架 、 被 测 开 源 框 架 综 合 考 虑 用 户 数 量 、 受 关 注 程 度 以 及 更 新 频 率 等 情 况 ， 选 取 了 2 0 款 具 有 代 表 性 的 框 架 类 软 件 。 表 1 列 出 了 本 次 被 测 的 开 源 框 架 类 软 件 项 目 的 概 况 。 本 次 检 测 的 软 件 涵 盖 了 C ， C + + ， J a v a ， P H P 等 编 程 语 言 。 这 些 开 源 软 件 项 目 都 是 国 际 、 国 内 知 名 的 ， 拥 有 广 泛 用 户 的 软 件 项 目 ， 其 中 不 乏 由 知 名 软 件 公 司 开 发 的 软 件 。 由 于 这 些 软 件 大 多 具 有 巨 大 的 用 户 群 体 ， 软 件 中 的 安 全 缺 陷 很 可 能 会 造 成 严 重 的 后 果 。 表 1   被 测 开 源 软 件 项 目 概 览 项 目 名 称 项 目 名 称 版 本 号 版 本 号 主 要 编 程 语 主 要 编 程 语 言 言 功 能 说 明 功 能 说 明 代 码 行 数 代 码 行 数 L a r a v e l 5 . 6 . 1 9 P H P l a r a v e l 是 w e b 应 用 程 序 目 录 结 构 分 析 框 架 2 , 5 7 0 D u b b o - S p r i n g 2 . 6 . 1 J a v a S p r i n g   开 发 的 R P C 应 用 程 序 框 架 4 , 1 2 3 S e r v e r _ F r a m e w o r k 1 . 0 C S e r v e r _ F r a m e w o r k   C 语 言 实 现 的 异 步 服 务 器 框 架 9 2 0 C o d e l g n i t e r 3 . 1 . 8 P H P P H P   网 站 开 发 者 使 用 的   W e b   应 用 程 序 开 发 框 架 和 工 具 包 1 9 5 , 2 3 2 K o r e 2 . 0 . 0 C 可 扩 展 w e b 应 用 程 序 框 架 3 , 4 9 4 F a k e r 1 . 7 . 1 P H P P H P 填 充 数 据 的 库 , 可 以 往 数 据 库 里 填 写 大 量 数 据 用 于 测 试 使 用 1 0 4 , 5 9 4 W a F e r 1 . 0 C 基 于 C 语 言 的 轻 量 级 ， 可 伸 缩 性 服 务 器 端 w e b 应 用 程 序 框 架 3 8 5 W e b C o l l e c t o r 2 . 7 J a v a 基 于 J a v a 的 开 源 W e b 爬 虫 框 架 9 , 6 7 6 K u m u l u z e e 1 . 0 J a v a J a v a   E E 应 用 程 序 微 服 务 迁 移 框 架 1 6 , 8 9 3 L i b P h e n o m 1 . 0 . 0 C 一 个 用 于 构 建 高 性 能 和 高 可 伸 缩 性 的 系 统 事 件 框 架 3 8 , 3 5 5 L c e 1 . 0 . 0 C + + 一 款 支 持 线 程 池 、 异 步 非 阻 塞 、 高 并 发 、 高 性 能 的 l i n u x 网 络 编 程 框 架 3 , 7 6 1 A c l 3 . 3 . 1 C 一 个 跨 平 台 的 网 络 通 信 库 及 服 务 器 编 程 框 架 ， 同 时 提 供 实 用 功 能 库 4 9 2 , 7 4 4 K v p r o x y 0 . 1 . 0 C + + 一 个 数 据 库 的 代 理 框 架 1 8 , 1 3 0 Y i i 2 2 . 0 . 1 5 . 1 P H P 一 个 适 用 于 开 发   W E B   2 . 0   应 用 的   P H P   框 架 1 6 8 , 8 9 3 C p h a l c o n 3 . 3 . 2 P H P P H P 语 言 编 写 的 C 的 扩 展 应 用 ， 提 供 了 高 性 能 , 低 资 源 消 耗 的 W e b 框 架 1 5 9 , 2 4 1 D a t u m b o x 0 . 8 . 1 J a v a 一 个 快 速 开 发 机 器 学 习 和 统 计 应 用 的 框 架 4 5 , 9 8 6 C o n c o r d i o n 2 . 1 . 2 J a v a 一 个 功 能 测 试 框 架 3 0 , 5 7 2 S y m f o n y 4 . 0 P H P 一 个 基 于 M V C 模 式 的 面 向 对 象 的 P H P 5 框 架 4 3 3 , 7 4 2 J o d d 4 . 3 . 2 J a v a 一 套 友 好 开 发 工 具 ， 微 观 框 架 3 1 9 , 6 9 9 B i o J a v a 5 . 0 . 0 J a v a 用 于 处 理 生 物 学 数 据 的 一 款 J a v a 框 架 3 1 1 , 5 3 9 3 、 测 试 内 容 、 测 试 内 容 3 . 1 、 安 全 缺 陷 种 类 、 安 全 缺 陷 种 类 本 次 测 试 涵 盖 各 类 常 见 安 全 缺 陷 。 根 据 缺 陷 形 成 的 原 因 、 被 利 用 的 可 能 性 、 造 成 的 危 害 程 度 和 解 决 的 难 度 等 因 素 进 行 综 合 考 虑 ， 可 以 将 常 见 的 安 全 缺 陷 分 为 八 类 ： 1 、 输 入 验 证 与 表 示 、 输 入 验 证 与 表 示 （ （ I n p u t   V a l i d a t i o n   a n d   R e p r e s e n t a t i o n ） ） 输 入 验 证 与 表 示 问 题 通 常 是 由 特 殊 字 符 、 编 码 和 数 字 表 示 所 引 起 的 ， 这 类 问 题 的 发 生 是 由 于 对 输 入 的 信 任 所 造 成 的 。 这 些 问 题 包 括 ： 缓 冲 区 溢 出 、 跨 站 脚 本 、 S Q L 注 入 、 命 令 注 入 等 。
2 、 、 A P I 误 用 （ 误 用 （ A P I   A b u s e ) A P I 是 调 用 者 与 被 调 用 者 之 间 的 一 个 约 定 ， 大 多 数 的 A P I 误 用 是 由 于 调 用 者 没 有 理 解 约 定 的 目 的 所 造 成 的 。 当 使 用 A P I 不 当 时 ， 也 会 引 发 安 全 问 题 。 3 、 安 全 特 性 （ 、 安 全 特 性 （ S e c u r i t y   F e a t u r e s ） ） 该 类 别 主 要 包 含 认 证 、 访 问 控 制 、 机 密 性 、 密 码 使 用 和 特 权 管 理 等 方 面 的 缺 陷 。 4 、 时 间 和 状 态 （ 、 时 间 和 状 态 （ T i m e   a n d   S t a t e ） ） 分 布 式 计 算 与 时 间 和 状 态 有 关 。 线 程 和 进 程 之 间 的 交 互 及 执 行 任 务 的 时 间 顺 序 往 往 由 共 享 的 状 态 决 定 ， 如 信 号 量 、 变 量 、 文 件 系 统 等 。 与 分 布 式 计 算 相 关 的 缺 陷 包 括 竞 态 条 件 、 阻 塞 误 用 等 。 5 、 错 误 和 异 常 处 理 缺 陷 （ 、 错 误 和 异 常 处 理 缺 陷 （ E r r o r s ） ） 这 类 缺 陷 与 错 误 和 异 常 处 理 有 关 ， 最 常 见 的 一 种 缺 陷 是 没 有 恰 当 的 处 理 错 误 （ 或 者 没 有 处 理 错 误 ） 从 而 导 致 程 序 运 行 意 外 终 止 ， 另 一 种 缺 陷 是 产 生 的 错 误 给 潜 在 的 攻 击 者 提 供 了 过 多 信 息 。 6 、 代 码 质 量 问 题 （ 、 代 码 质 量 问 题 （ C o d e   Q u a l i t y ） ） 低 劣 的 代 码 质 量 会 导 致 不 可 预 测 的 行 为 。 对 于 攻 击 者 而 言 ， 低 劣 的 代 码 使 他 们 可 以 以 意 想 不 到 的 方 式 威 胁 系 统 。 常 见 的 该 类 别 缺 陷 包 括 死 代 码 、 空 指 针 解 引 用 、 资 源 泄 漏 等 。 7 、 封 装 和 隐 藏 缺 陷 （ 、 封 装 和 隐 藏 缺 陷 （ E n c a p s u l a t i o n ） ） 合 理 的 封 装 意 味 着 区 分 校 验 过 和 未 经 检 验 的 数 据 ， 区 分 不 同 用 户 的 数 据 ， 或 区 分 用 户 能 看 到 和 不 能 看 到 的 数 据 等 。 常 见 的 缺 陷 包 括 隐 藏 域 、 信 息 泄 漏 、 跨 站 请 求 伪 造 等 。 8 、 代 码 运 行 环 境 的 缺 陷 （ 、 代 码 运 行 环 境 的 缺 陷 （ E n v i r o n m e n t ） ） 该 类 缺 陷 是 源 代 码 之 外 的 问 题 ， 例 如 运 行 环 境 配 置 问 题 、 敏 感 信 息 管 理 问 题 等 ， 它 们 对 产 品 的 安 全 仍 然 是 至 关 重 要 的 。 前 七 类 缺 陷 与 源 代 码 中 的 安 全 缺 陷 相 关 ， 它 们 可 以 成 为 恶 意 攻 击 的 目 标 ， 一 旦 被 利 用 会 造 成 信 息 泄 露 、 权 限 提 升 、 命 令 执 行 等 严 重 后 果 。 最 后 一 类 缺 陷 描 述 实 际 代 码 之 外 的 安 全 问 题 ， 它 们 容 易 造 成 软 件 的 运 行 异 常 、 数 据 丢 失 等 严 重 问 题 。 3 . 2 、 安 全 缺 陷 级 别 、 安 全 缺 陷 级 别 我 们 将 源 代 码 的 安 全 问 题 分 为 三 种 级 别 ： 高 危 （ H i g h ） 、 中 等 （ M e d i u m ） 和 低 （ L o w ） 。 衡 量 级 别 的 标 准 包 括 两 个 维 度 ， 置 信 程 度 （ c o n f i d e n c e ） 和 严 重 程 度 （ s e v e r i t y ） 。 置 信 程 度 是 指 发 现 的 问 题 是 否 准 确 的 可 能 性 ， 比 如 将 每 个 s t r c p y 函 数 调 用 都 标 记 成 缓 冲 区 溢 出 缺 陷 的 可 信 程 度 很 低 。 严 重 程 度 是 指 假 设 测 试 技 术 真 实 可 信 的 情 况 下 检 出 问 题 的 严 重 性 ， 比 如 缓 冲 区 溢 出 通 常 是 比 变 量 未 初 始 化 更 严 重 的 安 全 问 题 。 将 这 两 个 因 素 综 合 起 来 可 以 准 确 的 为 安 全 问 题 划 分 级 别 ， 如 图 1 所 示 。
图 1   缺 陷 级 别 与 严 重 程 度 、 置 信 程 度 的 关 系 4 、 开 源 框 架 类 软 件 项 目 的 安 全 缺 陷 情 况 、 开 源 框 架 类 软 件 项 目 的 安 全 缺 陷 情 况 本 部 分 首 先 展 示 从 被 测 项 目 中 检 出 安 全 缺 陷 的 数 量 ， 由 此 对 被 测 项 目 的 安 全 性 进 行 大 致 的 评 估 。 然 后 进 一 步 讨 论 被 测 项 目 中 安 全 缺 陷 的 分 布 情 况 ， 了 解 项 目 中 出 现 较 多 的 、 容 易 被 忽 略 的 安 全 问 题 。 4 . 1 、 安 全 缺 陷 情 况 概 览 、 安 全 缺 陷 情 况 概 览 本 部 分 展 示 被 测 项 目 查 出 缺 陷 的 数 量 ， 由 此 对 被 测 项 目 的 安 全 性 进 行 大 致 的 评 估 。 图 2 分 别 展 示 了 项 目 不 同 级 别 缺 陷 的 数 量 ， 并 按 照 高 危 缺 陷 数 量 对 项 目 进 行 了 排 序 ， 图 中 用 蓝 色 折 线 图 展 示 了 每 千 行 包 含 缺 陷 数   。 图 2   开 源 软 件 项 目 缺 陷 情 况 从 中 可 以 看 出 ， 本 次 选 取 的 框 架 类 开 源 软 件 都 存 在 不 同 程 度 的 安 全 问 题 。 本 次 检 测 从 这 些 项 目 中 总 计 发 现 高 危 缺 陷 2 3 4 个 ， 中 危 缺 陷 1 0 5 个 。 缺 陷 数 量 排 名 靠 前 的 项 目 处 于 极 易 被 攻 击 者 利 用 的 状 态 ， 实 际 使 用 者 需 通 过 安 装 补 丁 或 者 更 新 版 本 的 方 式 进 行 修 复 和 升 级 。 在 所 有 被 测 软 件 中 ， 中 高 危 缺 陷 总 数 最 多 的 是 框 架 类 开 源 软 件 B i o j a v a ， 包 含 1 0 7 个 高 危 缺 陷 和 2 1 个 中 危 缺 陷 。 值 得 一 提 的 是 ， 这 1 2 8 个 高 中 危 缺 陷 包 括 路 径 遍 历 、 资 源 未 释 放 、 X M L 外 部 实 体 注 入 等 缺 陷 ， 一 旦 有 恶 意 攻 击 者 进 行 攻 击 或 者 恶 意 构 造 数 据 ， 可 能 导 致 非 授 权 访 问 敏 感 目 录 、 拒 绝 服 务 攻 击 等 严 重 问 题 。 此 外 ， J a v a 微 框 架   J o d d 总 体 风 险 也 较 高 ， 包 含 3 3 个 高 危 缺 陷 和 1 7 个 中 危 缺 陷 ， 高 中 危 缺 陷 中 大 多 数 为 跨 站 脚
本 、 权 限 绕 过 ， 这 类 问 题 同 样 可 能 被 恶 意 攻 击 者 利 用 ， 导 致 非 授 权 访 问 、 拒 绝 服 务 攻 击 等 严 重 问 题 。 全 部 被 测 软 件 中 ， 两 款 开 源 框 架 软 件 W a f e r 和 S e r v e r _ F r a m e w o r k 虽 然 每 千 行 代 码 缺 陷 较 高 ， 但 由 于 这 两 款 软 件 本 身 代 码 行 数 也 较 小 ， 所 以 认 为 统 计 分 析 的 指 标 性 意 义 并 不 大 。 4 . 2 、 高 危 安 全 缺 陷 分 布 情 况 、 高 危 安 全 缺 陷 分 布 情 况 本 部 分 对 高 危 缺 陷 的 分 布 情 况 进 行 分 析 说 明 。 图 3 展 示 了 被 测 项 目 中 高 危 缺 陷 大 类 的 分 布 情 况 。 数 据 表 明 ， 大 多 数 缺 陷 为 “ 输 入 验 证 ” 类 缺 陷 ， 该 类 缺 陷 主 要 是 由 于 对 用 户 输 入 未 做 充 分 验 证 导 致 的 ， 易 造 成 缓 冲 区 溢 出 、 路 径 遍 历 、 跨 站 脚 本 及 各 类 注 入 问 题 ， 一 旦 攻 击 者 构 造 恶 意 输 入 ， 可 能 造 成 任 意 命 令 执 行 、 任 意 文 件 读 取 等 严 重 安 全 问 题 。 图 3   被 测 项 目 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 大 类 划 分 ） “ 安 全 特 性 ” 类 缺 陷 也 占 据 了 一 定 份 额 ， 这 类 缺 陷 主 要 涵 盖 身 份 认 证 、 数 据 加 密 等 方 面 的 问 题 ， 攻 击 者 可 利 用 该 类 缺 陷 实 现 越 权 访 问 ， 窃 取 隐 私 信 息 等 。 根 据 此 次 检 测 结 果 ， 多 个 软 件 存 在 “ 不 安 全 的 随 机 数 ” 问 题 ， 这 将 严 重 降 低 软 件 抵 御 加 密 攻 击 的 能 力 。 图 4 进 一 步 展 示 了 被 测 项 目 中 的 各 种 具 体 的 高 危 安 全 缺 陷 的 分 布 情 况 。 为 方 便 展 示 ， 将 出 现 不 超 过 5 次 的 缺 陷 统 一 归 入 “ 其 他 ” ， 主 要 包 括 空 指 针 解 引 用 、 A P I 误 用 等 问 题 。 在 被 测 的 2 0 个 项 目 中 ， 出 现 较 多 的 几 类 缺 陷 是 路 径 遍 历 （ 1 9 % ， 4 3 个 ） 、 访 问 说 明 符 操 纵 （ 1 8 % ， 4 2 个 ） 和 X M L 外 部 实 体 注 入 （ 1 6 % ， 3 8 个 ） 。 下 面 对 这 三 种 缺 陷 进 行 简 要 说 明 ， 并 给 出 防 范 建 议 。 图 4   被 测 项 目 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 具 体 缺 陷 划 分 ） 1 ） 路 径 遍 历 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） ） 路 径 遍 历 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） 危 害 ： 应 用 程 序 对 用 户 可 控 制 的 输 入 未 经 合 理 校 验 ， 就 传 送 给 文 件 访 问 A P I 。 攻 击 者 可 能 会 使 用 一 些 特 殊 的 字 符 （ 如 “ . . ” 和 “ / ” ） 摆 脱 受 保 护 的 限 制 ， 访 问 一 些 受 保 护 的 文 件 或 目 录 。 防 范 ： 严 格 验 证 用 户 的 输 入 ， 建 议 创 建 合 法 资 源 名 的 列 表 ， 并 规 定 用 户 只 能 访 问 其 中 的 文 件 。
2 ） 访 问 说 明 符 操 纵 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） ） 访 问 说 明 符 操 纵 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） 危 害 ： 程 序 员 可 以 绕 过 由 j a v a 访 问 说 明 符 提 供 的 接 入 控 制 检 查 ， 导 致 程 序 私 有 字 段 、 私 有 方 法 和 行 为 被 反 向 调 用 ， 可 能 产 生 未 授 权 的 命 令 执 行 等 严 重 安 全 隐 患 。 防 范 ： 对 访 问 说 明 符 进 行 合 理 的 权 限 限 制 。 3 ） ） X M L 外 部 实 体 注 入 （ 属 于 代 码 注 入 缺 陷 ） 外 部 实 体 注 入 （ 属 于 代 码 注 入 缺 陷 ） 危 害 ： 攻 击 者 通 过 引 入 构 造 恶 意 内 容 的 外 部 实 体 ， 可 导 致 读 取 任 意 文 件 、 执 行 系 统 命 令 ， 从 而 达 到 提 权 ， 获 取 敏 感 信 息 的 目 的 。 防 范 ： 验 证 所 有 输 入 数 据 ， 有 效 检 测 攻 击 。 4 . 3 、 安 全 缺 陷 总 体 分 布 情 况 、 安 全 缺 陷 总 体 分 布 情 况 上 文 针 对 被 测 项 目 中 的 高 危 缺 陷 的 检 出 情 况 对 项 目 的 安 全 状 况 进 行 了 分 析 。 通 常 来 说 ， 与 高 危 缺 陷 相 比 ， 中 危 缺 陷 在 实 际 运 行 环 境 中 的 危 害 相 对 较 小 ， 但 仍 不 容 忽 视 ， 且 能 在 一 定 程 度 上 反 映 出 项 目 的 代 码 质 量 、 开 发 人 员 对 代 码 安 全 问 题 的 重 视 程 度 等 。 为 了 更 全 面 的 了 解 被 测 项 目 的 安 全 状 况 ， 本 节 进 一 步 展 示 包 括 中 危 缺 陷 在 内 的 安 全 缺 陷 的 总 体 分 布 情 况 。 图 5 展 示 了 被 测 项 目 中 安 全 缺 陷 大 类 的 分 布 情 况 。 与 高 危 级 别 的 缺 陷 分 布 情 况 相 比 ， 输 入 验 证 类 、 资 源 管 理 类 、 安 全 特 性 类 缺 陷 仍 然 占 比 较 大 。 其 中 ， 资 源 管 理 类 缺 陷 问 题 通 常 是 由 于 开 发 者 遗 漏 了 对 系 统 资 源 的 释 放 处 理 导 致 的 ， 例 如 ， 流 资 源 未 释 放 ， 产 生 竞 价 条 件 等 。 与 输 入 验 证 类 问 题 相 比 ， 这 类 问 题 被 直 接 用 于 发 动 攻 击 的 可 能 性 较 小 ， 但 仍 然 会 造 成 性 能 降 低 、 程 序 不 稳 定 等 风 险 ， 严 重 情 况 下 也 会 导 致 系 统 运 行 异 常 、 甚 至 系 统 崩 溃 。 图 5   被 测 项 目 中 的 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 大 类 划 分 ） 图 6 进 一 步 展 示 了 被 测 项 目 中 的 各 种 具 体 的 中 高 危 安 全 缺 陷 的 分 布 情 况 。 本 次 检 测 结 果 中 有 2 4 种 出 现 不 超 过 1 0 次 的 缺 陷 ， 如 “ 文 件 包 含 ” 、 “ 操 纵 设 置 ” 等 ， 为 方 便 展 示 ， 将 其 统 一 归 入 “ 其 他 ” 。 在 被 测 的 2 0 个 项 目 中 ， 出 现 较 多 的 缺 陷 是 是 路 径 遍 历 （ 1 4 % ， 4 7 个 ） 、 资 源 流 未 释 放 （ 1 4 % ， 4 6 个 ） 和 访 问 说 明 符 操 纵 （ 1 2 % ， 4 2 个 ） 。 下 面 对 这 几 种 缺 陷 进 行 简 要 说 明 ， 并 给 出 防 范 建 议 。
图 6   被 测 项 目 中 的 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 具 体 安 全 缺 陷 种 类 划 分 ） 1 ） 路 径 遍 历 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） ） 路 径 遍 历 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） 危 害 ： 应 用 程 序 对 用 户 可 控 制 的 输 入 未 经 合 理 校 验 ， 就 传 送 给 文 件 访 问 A P I 。 攻 击 者 可 能 会 使 用 一 些 特 殊 的 字 符 （ 如 “ . . ” 和 “ / ” ） 摆 脱 受 保 护 的 限 制 ， 访 问 一 些 受 保 护 的 文 件 或 目 录 。 防 范 ： 严 格 验 证 用 户 的 输 入 ， 建 议 创 建 合 法 资 源 名 的 列 表 ， 并 规 定 用 户 只 能 访 问 其 中 的 文 件 。 2 ） 资 源 流 未 释 放 （ 属 于 资 源 管 理 类 缺 陷 ） ） 资 源 流 未 释 放 （ 属 于 资 源 管 理 类 缺 陷 ） 危 害 ： 应 用 程 序 未 释 放 申 请 的 资 源 ， 可 能 导 致 程 序 运 行 效 率 低 下 、 资 源 耗 尽 等 安 全 问 题 。 防 范 ： 提 高 代 码 编 写 质 量 ， 及 时 释 放 使 用 完 毕 的 资 源 。 3 ） 访 问 说 明 符 操 纵 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ） ） 访 问 说 明 符 操 纵 （ 属 于 输 入 验 证 与 表 示 类 缺 陷 ）   危 害 ： 程 序 员 可 以 绕 过 由 j a v a 访 问 说 明 符 提 供 的 接 入 控 制 检 查 ， 导 致 程 序 私 有 字 段 、 私 有 方 法 和 行 为 被 反 向 调 用 ， 可 能 产 生 未 授 权 的 命 令 执 行 等 严 重 安 全 隐 患 。 防 范 ： 对 访 问 说 明 符 进 行 合 理 的 权 限 限 制 。   “ 关 于 本 报 告 的 说 明 ” 一 、 本 报 告 仅 从 代 码 角 度 进 行 缺 陷 分 析 。 本 报 告 中 统 计 的 缺 陷 是 指 由 于 代 码 编 写 不 规 范 导 致 的 有 可 能 被 攻 击 者 利 用 的 安 全 隐 患 。 在 实 际 系 统 中 ， 由 于 软 件 实 际 部 署 环 境 、 安 全 设 备 等 的 限 制 ， 部 分 缺 陷 可 能 无 法 通 过 渗 透 测 试 得 到 验 证 。 二 、 本 报 告 中 的 缺 陷 仅 适 用 于 表 1 中 列 出 的 特 定 软 件 版 本 。 当 软 件 版 本 有 任 何 更 新 、 修 改 和 优 化 时 ， 本 报 告 不 再 适 用 。 三 、 本 报 告 由 3 6 0 代 码 卫 士 团 队 提 供 部 分 技 术 支 持 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理