代码审计参考 java信息安全资料.pdfVIP

一.数据/输入验证

确保存在一个数据验证机制。

确保对所有会被恶意用户修改的地方，比如http头部、数据域、下拉列表和其他网站

组件进行适当的验证。

确保检查所有输入数据的长度。

确保验证所有的域、cookie、http头部和体部以及表单。

确保数据格式格式良好并且只包含已知的安全字符。

确保在服务器端进行数据验证。

如果使用了集中或者离散程序，要审查数据验证的地方。

确保在数据验证程序中没有后门。

黄金法则：对所有的额外输入，无论是什么，都要进行审查和验证。

1.1SQL注入

问题简介

通过用户输入构造一个动态SQL指令，攻击者就能够修改指令的含义或者执行

任意的SQL命令。

详细描述

SQLinjection错误在以下情况下出现：

1.数据从一个不可信赖的数据源进入程序。

2.数据用于动态地构造一个SQL查询。

例1：以下代码动态地构造并执行了一个SQL查询，该查询可以搜索与指定名称

相匹配的项。该查询仅会显示条目所有者与被授予权限的当前用户一致的条目。

...