包含java反序列化漏洞,導致遠程代碼執(zhí)行。Spring、Struts2的相關安全。
日志偽造漏洞,密碼明文存儲,資源管理,調試程序殘留,二次注入,反序列化。
不安全的數(shù)據(jù)庫調用、隨機數(shù)創(chuàng)建、內存管理調用、字符串操作,危險的系統(tǒng)方法調用。
不安全的域、方法、類修飾符未使用的外部引用、代碼。
程序異常處理、返回值用法、空指針、日志記錄。
直接引用數(shù)據(jù)庫中的數(shù)據(jù)、文件系統(tǒng)、內存空間。
不安全的文件創(chuàng)建/修改/刪除,競爭沖突,內存泄露。
欺騙密碼找回功能,規(guī)避交易限制,越權缺陷Cookies和session的問題。
數(shù)據(jù)庫配置規(guī)范,Web服務的權限配置SQL語句編寫規(guī)范。
在滲透測試中,代碼審計可以作為輔助的方式協(xié)助滲透的進行,采用白盒+黑盒模式,提高滲透測試效果。
在新功能上線時進行安全檢測,保證業(yè)務的功能安全性,優(yōu)化企業(yè)功能上線流程。
代碼審計的關注點為代碼中是否存在功能設計不合理,發(fā)現(xiàn)風險代碼可提供相應的安全開發(fā)經(jīng)驗。
技術支持:悟安
Copyright ? 2014-2020 北京旗云天下科技有限公司 版權所有
京公網(wǎng)安備 11011202000939號
京ICP備17058884號-1