note-java代码审计入门篇.docxVIP

2 note-java代码审计入门篇  1.SDL 安全开发周期 安全左移 是好的安全加固方法  2.九层之台，起于累土。  3.p牛说这本书有助于积累漏洞库  4.不让生活磨灭我们的个性  5.代码审计的常用思路：  1）接口排查（“正向追踪”） 可向研发人员索要接口清单  2）危险方法溯源（“逆向追踪”）  3）功能点定向审计  4）第三方组件、中间件版本比对  5）补丁比对  6.docker用法  Docker search tomcat搜索tomcat镜像  7.需要jar、weblogic、tomcat、vmware中应用远程调试方法的可以看2.3部分。  8.Swagger有利于进行接口测试，后面审计一定要这个。  9.审计需要数据库日志记录攻击-MYSQL Monitor  10.静态代码审计工具-VCG  重要的是，用户要对漏洞成因具有很好的了解，才能做好代码审计工作。  11.获取类对象方法  1）forName() 会执行static{}代码块中内容  2）类名称.class。例如Runtime.class  3）类对象.getClass()  4）ClassLoader.getSystemClassLoader().loadClass() 只加载类不会执行st