搜索

[18090] 2020-07-13_Java安全编码实践总结

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-07-13_Java安全编码实践总结 J a v a 安 全 编 码 实 践 总 结 随 便 看 看   H A C K 之 道   2 0 2 0 - 0 7 - 1 3 J a v a 作 为 企 业 主 流 开 发 语 言 已 流 行 多 年 ， 各 种 作 为 企 业 主 流 开 发 语 言 已 流 行 多 年 ， 各 种 j a v a 安 全 编 码 规 范 也 层 出 不 穷 ， 本 文 将 从 实 践 角 度 出 发 ， 整 合 工 安 全 编 码 规 范 也 层 出 不 穷 ， 本 文 将 从 实 践 角 度 出 发 ， 整 合 工 作 中 遇 到 过 的 多 种 常 见 安 全 漏 洞 ， 给 出 不 同 场 景 下 的 安 全 编 码 方 式 。 作 中 遇 到 过 的 多 种 常 见 安 全 漏 洞 ， 给 出 不 同 场 景 下 的 安 全 编 码 方 式 。 本 文 漏 洞 复 现 的 基 础 环 境 信 息 ： j d k 版 本 ： 1 . 8   ， 框 架 ： s p r i n g b o o t 1 . 5 ， 数 据 库 ： m y s q l 5 . 6 和 m o n g o d b 3 . 6 ， 个 别 漏 洞 使 用 到 不 同 的 开 发 框 架 会 特 别 标 注 。 安 全 编 码 实 践 安 全 编 码 实 践 S q l 注 入 防 范 注 入 防 范 常 见 安 全 编 码 方 法 ： 预 编 译 + 输 入 验 证 预 编 译 适 用 于 大 多 数 对 数 据 库 进 行 操 作 的 场 景 ， 但 预 编 译 并 不 是 万 能 的 ， 涉 及 到 查 询 参 数 里 需 要 使 用 表 名 、 字 段 名 的 场 景 时 ( 如 o r d e r   b y 、 l i m i t 、 g r o u p   b y 等 ) ， 不 能 使 用 预 编 译 ， 因 为 会 产 生 语 法 错 误 。 常 见 的 预 编 译 写 法 如 下 j d b c ： H i b e r n a t e I b a t i s
M y b a t i s 在 无 法 使 用 预 编 译 的 场 景 ， 可 以 使 用 数 据 校 验 的 方 式 来 拦 截 非 法 参 数 ， 数 据 校 验 推 荐 使 用 白 名 单 方 式 。 错 误 写 法 ： 不 能 使 用 预 编 译 的 场 景 （ 直 接 拼 接 用 户 的 查 询 条 件 ） 漏 洞 利 用 验 证 ： 不 能 使 用 预 编 译 的 正 确 写 法 （ 通 过 白 名 单 验 证 用 户 输 入 ） ： 漏 洞 修 复 验 证 ： N o s q l 注 入 防 范 注 入 防 范 涉 及 到 非 关 系 型 数 据 库 m o n g d b 在 查 询 时 不 能 使 用 拼 接 s q l 的 方 式 ， 需 要 绑 定 参 数 进 行 查 询 ， 跟 关 系 型 数 据 库 的 预 编 译 类 似 错 误 写 法 ( 拼 接 用 户 的 查 询 条 件 ) ：
漏 洞 利 用 验 证 ： 正 确 写 法 ( 参 数 绑 定 ) ： 漏 洞 修 复 验 证 ： X s s 防 范 防 范 白 名 单 校 验 适 用 于 纯 数 字 、 纯 文 本 等 地 方 ， 如 用 户 名 E s a p i 适 用 于 常 规 的 输 入 输 出 ， 如 用 户 评 论 错 误 写 法 （ 对 用 户 输 入 内 容 不 做 处 理 ） ：
正 确 写 法 （ 通 过 e s a p i 的 黑 白 名 单 配 置 来 实 现 富 文 本 x s s 的 过 滤 ） ： 漏 洞 利 用 及 修 复 验 证 ： X X E 注 入 防 范 注 入 防 范 为 了 避 免   X X E   i n j e c t i o n s ， 应 为   X M L   代 理 、 解 析 器 或 读 取 器 设 置 下 面 的 属 性 ： f a c t o r y . s e t F e a t u r e ( “ h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s “ , f a l s e ) ; f a c t o r y . s e t F e a t u r e ( “ h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s “ , f a l s e ) ; 如 果 不 需 要   i n l i n e   D O C T Y P E   声 明 ， 可 使 用 以 下 属 性 将 其 完 全 禁 用 ： f a c t o r y . s e t F e a t u r e ( “ h t t p : / / a p a c h e . o r g / x m l / f e a t u r e s / d i s a l l o w - d o c t y p e - d e c l “ , t r u e ) ; 错 误 写 法 ( 以 x m l R e a d e r 为 例 ， 允 许 解 析 外 部 实 体 ) ： X M L R e a d e r x m l R e a d e r   =   X M L R e a d e r F a c t o r y . c r e a t e X M L R e a d e r ( ) ; x m l R e a d e r . p a r s e ( n e w I n p u t S o u r c e ( n e w S t r i n g R e a d e r ( b o d y ) ) ) ; 漏 洞 利 用 验 证 ：
正 确 写 法 （ 禁 止 解 析 部 实 体 ） ： 文 件 上 传 漏 洞 文 件 上 传 漏 洞 文 件 名 随 机 ， 防 止 被 猜 解 上 传 路 径 限 制 上 传 文 件 大 小 ， 防 止 磁 盘 空 间 被 恶 意 占 用 限 制 上 传 文 件 类 型 ， 防 止 上 传 可 执 行 文 件 正 确 写 法 （ 限 制 文 件 类 型 大 小 ， 通 过 u u i d 生 成 随 机 文 件 名 保 存 ） ： 漏 洞 利 用 验 证 X M L R e a d e r x m l R e a d e r   =   X M L R e a d e r F a c t o r y . c r e a t e X M L R e a d e r ( ) ; x m l R e a d e r . s e t F e a t u r e ( " [ h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s ] ( h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - g e n e r a l - e n t i t i e s ) " , f a l s e ) ; x m l R e a d e r . s e t F e a t u r e ( " [ h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s ] ( h t t p : / / x m l . o r g / s a x / f e a t u r e s / e x t e r n a l - p a r a m e t e r - e n t i t i e s ) " , f a l s e ) ; x m l R e a d e r . p a r s e ( n e w I n p u t S o u r c e ( n e w S t r i n g R e a d e r ( b o d y ) ) ) ;
漏 洞 修 复 验 证 ： 文 件 包 含 文 件 包 含 限 制 文 件 在 指 定 目 录 ， 逻 辑 名 称 绑 定 文 件 路 径 ， 跟 文 件 上 传 的 处 理 类 似 ， 通 过 文 件 i d 读 取 对 应 资 源 文 件 错 误 写 法 （ 直 接 请 求 用 户 设 置 的 资 源 ） ： 漏 洞 利 用 验 证 ： 正 确 写 法 （ 通 过 文 件 i d 和 真 实 路 径 的 映 射 设 置 白 名 单 ） ： 文 件 上 传 后 对 应 的 路 径 会 存 储 在 数 据 库 里 ， 表 结 构 如 下 ： 漏 洞 修 复 验 证 C s r f 常 见 的 框 架 已 经 自 带 了 防 范 c s r f 的 功 能 ， 只 需 要 正 确 的 配 置 启 用 即 可 s t r u t s 2 J S P 使 用 标 签 ， 在 s t r u t s 配 置 文 件 中 增 加 t o k e n 拦 截 器 S t r i n g   r e t u r n U R L   =   r e q u e s t . g e t P a r a m e t e r ( " r e t u r n U R L " ) ; r e t u r n n e w   M o d e l A n d V i e w ( r e t u r n U R L ) ; i f ( S e c u r i t y U t i l . c h e c k i d ( f i l e _ i d )   = = n u l l )   { r e t u r n " 资 源 文 件 不 存 在 ！ " ; } r e t u r n g e t _ f i l e ( S e c u r i t y U t i l . f i n d _ p a t h ( f i l e _ i d ) ) ; }
页 面 代 码 ： 漏 洞 修 复 验 证 ： S p r i n g 正 确 写 法 ： 使 用 s p r i n g - s e c u r i t y 漏 洞 修 复 验 证
越 权 越 权 J a v a 通 用 权 限 框 架 ( s h i r o ) 进 行 增 删 改 查 操 作 时 采 用 无 法 遍 历 的 序 号 对 于 敏 感 信 息 ， 应 该 进 行 掩 码 设 置 屏 蔽 关 键 信 息 。 垂 直 越 权 角 色 权 限 矩 阵 限 制 匿 名 用 户 和 低 权 限 用 户 ， 执 行 操 作 前 检 查 用 户 登 录 状 态 和 权 限 清 单 正 确 写 法 （ 判 断 用 户 权 限 清 单 是 否 包 含 请 求 的 权 限 ） ：
漏 洞 修 复 验 证 水 平 越 权 ： 操 作 前 判 断 下 当 前 用 户 是 否 有 对 应 数 据 权 限 ， 修 复 后 修 复 前 两 次 验 证 ， 通 过 返 回 长 度 不 同 可 看 到 水 平 越 权 问 题 已 解 决 。
u r l 重 定 向 重 定 向 & s s r f u r l 重 定 向 对 于 白 名 单 内 的 地 址 ， 用 户 可 无 感 知 跳 转 ， 不 在 白 名 单 内 的 地 址 给 用 户 风 险 提 示 ， 用 户 选 择 是 否 跳 转 正 确 写 法 ： 漏 洞 修 复 验 证 S s r f 漏 洞 利 用 验 证 ： 正 确 写 法 （ 限 制 请 求 协 议 ， 设 置 白 名 单 域 名 ， 避 免 内 网 地 址 探 测 ） ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理