fortify漏洞修复笔记

原创 已于 2022-11-18 17:21:00 修改 · 2.7k 阅读 · 3 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#fortify

于 2022-11-18 16:02:56 首次发布
本文介绍了五种常见的Java安全问题及其解决方案，包括不安全的随机数生成、访问修饰符操纵、隐私泄露、未释放资源等问题，并提供了具体的解决方法。

1.insecure randomness 不安全随机数

解决方法：使用SecureRandom sr = new SecureRandom() 替换Random sr = new Random()

2.Access Specifier Manipulation 漏洞成因：field.setAccessible(true)  ，AccessibleObject允许程序员绕过由java说明符提供的access control检查。并反过来更改私有字段或调用私有方法、行为。

解决方法：使用org.springframework.util.ReflectionUtils 的 makeAccessible 方法来更改属性的访问修饰符。ReflectionUtils.makeAccessible(field);

3.新建工具类，封装jar包，解决扫描问题，针对不好改的。

4.Privacy Violation: Heap Inspection 隐私泄露

解决方法 使用stringbuffer

5.unreleased resource streams 未释放资源

解决方法 我遇到的是getresourceasstream,在finally释放资源

Fortify漏洞之 Privacy Violation（隐私泄露）和 Null Dereference（空指针异常）
arkqyo2595的博客
05-14 7670
　　继续对Fortify的漏洞进行总结，本篇主要针对Privacy Violation（隐私泄露）和Null Dereference（空指针异常）的漏洞进行总结，如下： 1.1、产生原因： Privacy Violation 会在以下情况下发生： 1. 用户私人信息进入了程序。 2. 数据被写到了一个外部介质，例如控制台、file system 或网络。 示例 ...
Fortify Audit Workbench 笔记 Privacy Violation: Heap Inspection 隐私泄露（堆检查）
马洪彪的流水账
05-10 550
Privacy Violation: Heap Inspection 隐私泄露(堆检查) Abstract 将敏感数据存储在 String 对象中使系统无法从内存中可靠地清除数据。 Explanation 如果在使用敏感数据(例如密码、社会保障号码、信用卡号等)后不清除内存，则存储在内存中的这些数据可能会泄漏。 通常而言， String 是所用的存储敏感数据，然而，由于 String 对象不可改...
处理Java程序中的内存漏洞
02-04
最近碰到一个棘手的问题，在已经展开的稳定性测试中。频繁出现Was宕机等问题，于是在征询了研发组意见后。决定对Was发生宕机前后，进行内存快照。最初的方案是在，Was启动后和发生死机时，使用HeapDump来分析具体程序调用的Java对象。但时间的快照文件却非常难以分析发生宕机时候内存堆内具体的变化情况。由于，需要准确定位到java虚拟机中堆栈的使用情况。由此，我们引用了一个新的测试分析工具jProbe对Was启动时，场景运行的开始点、Action1的结束点以及场景运行的结束点进行内存分析。jProbe的核心思想是通过对比多次快照的内存调用情况，分析出前后两次不同的内存启动后占用比率，从而引导研
Fortify漏洞修复总结
weixin_30677475的博客
09-21 3937
1.代码注入 1.1 命令注入 命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，导致程序执行恶意命令的一种攻击方式。 问题代码： $dir = $_POST['dir'] exec("cmd.exe /c dir" + $dir); 修复方案：（1）程序对非受信的用户输入数据进行净化，删...
Sonar&&Fortify漏洞修复
遇到对你这么好的女孩,唯有在她一丈之内。
09-02 6710
Sonar&&Fortify漏洞修复
渗透测试笔记—安全见闻9
qq_18469315的博客
11-15 1407
定义：二进制安全指在处理二进制数据时，确保数据的完整性、保密性和可用性，防止恶意攻击和数据篡改。核心目标确保在处理二进制数据时的正确性。防止内部存储和数据传输中的安全威胁。动态分析：是在程序运行时监测其状态及行为的分析方法，通过调试器观察内存、CPU 状态及程序执行流程，以发现潜在的漏洞和异常。模糊测试：一种自动化测试技术，通过向程序输入大量随机数据（模糊输入）来检测漏洞，旨在找出程序在异常输入时的行为。漏洞利用。
读书笔记之python渗透测试.docx
04-13
2. **AppScan**：IBM的一款自动化Web应用安全扫描工具，可以自动探测Web应用中的安全漏洞，并提供修复建议。 3. **WAF检测工具**：专门用于检测目标网站是否部署了Web应用防火墙（WAF），以及判断其具体型号或品牌...
DEFCON CTF 2021 Quals - gobaby 漏洞分析与利用
2402_86373248的博客
06-11 1033
在此间隙被调用，可泄露已释放堆块数据。
解决xss/logforging安全漏洞
qq_37549757的博客
03-29 1873
注明： 本文为整理记录笔记，不喜勿喷。有问题请留言。优快云转载必须有原文链接，有些链接找不到了，原文看到了可以留言私我。 漏洞描述： XSS：跨站脚本攻击（Cross Site Script）是一种将恶意JavaScript代码插入到其他Web用户页面里执行以达到攻击目的的漏洞。攻击者利用浏览器的动态展示数据功能，在HTML页面里嵌入恶意代码。当用户浏览该页时，这些嵌入在HTML中的恶意代码会被执行，用户浏览器被攻击者控制，从而达到攻击者的特殊目的，如cookie窃取、帐户劫持、拒绝服务攻击等。
安全见闻笔记
weixin_74811095的博客
10-27 1598
本文全面探讨了网络安全的多个关键领域，包括渗透测试概念与实践、编程语言的选择、软件程序的安全性、网络基础、通讯协议的安全问题、硬件设备的网络安全、人工智能在网络安全中的应用、量子计算对网络安全的影响、二进制与网络安全的关系，以及网络安全热门证书的介绍和备考指南。文章强调了在不断演变的网络威胁面前，持续学习、实践和适应的重要性，以及通过专业认证提升个人技能的必要性。同时，文章也提醒读者在追求技术进步的同时，应保持谦逊和对知识无限性的认识，以促进个人成长和知识边界的扩展。
Fortify解决方案手册.docx
04-23
Fortify解决方案手册.docx
解决Fortify漏洞：Access Specifier Manipulation
林夕
06-05 1597
Fortify 是一种静态代码分析工具，可用于识别源代码中的安全漏洞和错误。Fortify 检查程序是否存在潜在的安全漏洞，例如 SQL 注入、跨站点脚本攻击、缓冲区溢出、身份验证问题等。Fortify 使用一种名为“规则”的机制来检测这些漏洞。每个规则都是一个静态的模式匹配器，用于识别源代码中的特定模式或结构。当 Fortify 发现与规则匹配的代码时，它将生成一个安全漏洞警报，指出可能存在的风险并提供修复建议。
Foritfy安全漏洞： Server-Side Request Forgery修复记录
ghostp的专栏
07-20 4400
Foritfy安全漏洞： Server-Side Request Forgery修复
关于Fortify中的漏洞以及修复方案
weixin_44755131的博客
04-01 5576
Fortify扫描Access Control：DataBase的漏洞 出现原因 如果在程序中简单的使用findById(String id)这个方法，攻击者就有可能使用脚本进行攻击，使其该表中的所有用户信息。比如 for(int i=0; i<10000;i++){ findById(i); } 通过类似的代码就可以获取所有用户信息。 解决方案 可以通过在该方法上加上别的限定条件。如...
Fortify 5.1漏洞整改方案（1）
chongweimei5390的博客
06-19 2235
很多企业对代码的安全性有着很高的要求，目前使用的较为多的扫描代码安全漏洞的工具为Fortify 5.1。以下为一些漏洞的解决方案，欢迎指正。 1.Password Management: Empty Password 1）简介：为密码变量指定空字符串绝非一个好方法。如果使用 emp...
常见fortify漏洞与整改规则
chastera的博客
04-07 4619
网页劫持：除了利用一个易受攻击的应用程序向用户传输恶意内容，还可以利用相同的根漏洞，将服务器生成的供用户使用的敏感内容重定向，转而供攻击者使用。攻击者通过提交一个会导致两个响应的请求，即服务器做出的预期响应和攻击者创建的响应，致使某个中间节点（如共享的代理服务器）误导服务器所生成的响应，将本来应传送给用户的响应错误地传给攻击者。这时，攻击者将第二个请求发送给服务器，代理服务器利用针对受害者（用户）的、由该服务器产生的这一请求对服务器做出响应，因此，针对受害者的这一响应中会包含所有头文件或正文中的敏感信息。
43-代码审计（工具Fortify 、Seay审计系统安装及漏洞验证）
XLbb的博客
05-31 4992
检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有编码不规范的地方，通过自动化工具或者人工审查的方式，对程序源代码逐条进行检查和分析，发现这些源代码缺陷引发的安全漏洞，并提供代码修订措施和建议。工具Fortify 漏洞审计分析：根据工具扫描结果分析风险漏洞成因，手工跟踪相关函数及变量，测试漏洞是否可利用、排除误报可能。通过工具修复建议，手工修复相关漏洞。Seay源代码审计系统使用 Seay是一套开源代码审计系统，使用C# 编写，需要.NET2.0以上版本环境才能运行
Fortify代码扫描：Privacy Violation:Heap Inspection漏洞解决方案
热门推荐
初阶农民工的博客
01-06 2万+
该漏洞引发情况： 将敏感数据存储在 String 对象中使系统无法从内存中可靠地清除数据。 如果在使用敏感数据（例如密码、社会保障号码、信用卡号等）后不清除内存，则存储在内存中的这些数据可能会泄漏。通常而言，String是所用的存储敏感数据，然而，由于String对象不可改变，因此用户只能使用 JVM 垃圾收集器来从内存中清除String的值。除非 JVM 内存不足，否则系统不要求运...
Fortify代码扫描解决方案
weixin_34072159的博客
08-24 5922
Fortify扫描漏洞解决方案： Log Forging漏洞： 1.数据从一个不可信赖的数据源进入应用程序。在这种情况下，数据经由getParameter()到后台。2. 数据写入到应用程序或系统日志文件中。这种情况下，数据通过info()记录下来。为了便于以后的审阅、统计数据收集或调试，应用程序通常使用日志文件来储存事件或事务的历史记录。根据应用程序自身的特性，审阅日志文件可在必要时...
fortify扫描 Header Manipulation漏洞修复
最新发布
11-27
Header Manipulation 漏洞是指攻击者可能通过操纵 HTTP 响应头来执行恶意操作，如跨站脚本攻击（XSS）、缓存中毒等。以下是一些针对 fortify 扫描出的 Header Manipulation 漏洞的修复方案： ### 输入验证和过滤 对所有用户输入进行严格的验证和过滤，确保只有合法的字符和值被允许作为响应头的值。例如，在 Python 的 Flask 框架中： ```python from flask import Flask, request, make_response app = Flask(__name__) @app.route('/download') def download(): filename = request.args.get('filename') # 验证文件名是否合法 if not is_valid_filename(filename): return "Invalid filename", 400 response = make_response() response.headers['Content-Disposition'] = f'attachment; filename={filename}' return response def is_valid_filename(filename): # 只允许字母、数字、下划线和点 import re pattern = r'^[a-zA-Z0-9_.]+$' return bool(re.match(pattern, filename)) if __name__ == '__main__': app.run() ``` ### 避免直接拼接用户输入 不要直接将用户输入拼接到响应头中，而是使用安全的方法来设置响应头。例如，在 Java 的 Servlet 中： ```java import javax.servlet.ServletException; import javax.servlet.http.HttpServlet; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletResponse; import java.io.IOException; public class DownloadServlet extends HttpServlet { protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException { String filename = request.getParameter("filename"); // 验证文件名 if (isValidFilename(filename)) { response.setHeader("Content-Disposition", "attachment; filename=" + filename); } else { response.sendError(HttpServletResponse.SC_BAD_REQUEST, "Invalid filename"); } } private boolean isValidFilename(String filename) { // 简单的验证逻辑 return filename != null && filename.matches("^[a-zA-Z0-9_.]+$"); } } ``` ### 对响应头进行编码 对响应头的值进行适当的编码，以防止特殊字符被恶意利用。例如，在 Node.js 的 Express 框架中： ```javascript const express = require('express'); const app = express(); app.get('/download', (req, res) => { const filename = req.query.filename; // 对文件名进行编码 const encodedFilename = encodeURIComponent(filename); res.setHeader('Content-Disposition', `attachment; filename="${encodedFilename}"`); res.send('File content'); }); const port = 3000; app.listen(port, () => { console.log(`Server running on port ${port}`); }); ``` ### 配置安全的默认响应头 在应用程序中配置安全的默认响应头，防止攻击者利用未设置或不安全的响应头。例如，在 Apache 服务器的配置文件中： ```apache <IfModule mod_headers.c> Header set X-Frame-Options "SAMEORIGIN" Header set X-XSS-Protection "1; mode=block" Header set X-Content-Type-Options "nosniff" </IfModule> ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值