代码审计Forfity常见扫描 漏洞原理与修复意见介绍

代码审计 Forfity 常见扫描

漏洞原理与修复意见介绍

目录

1. 系统信息泄漏（System Information Leak） ...................................................................4

1.1 漏洞原理及危害介绍 ............................................................................................4

1.1 解决办法 ................................................................................................................4

2. Insecure Randomness（不安全的随机数） ....................................................................4

4.1 漏洞原理及危害介绍 ............................................................................................5

4.2 修复建议 ................................................................................................................5

5. SVN 库发现漏洞................................................................................................................6

5.1 漏洞原理及危害介绍 ............................................................................................6

5.2 修复建议 ................................................................................................................6

6. SQL 注入............................................................................................................................6

6.1 漏洞原理及危害介绍 ............................................................................................6

6.2 修复建议 ................................................................................................................6

7. 跨站脚本攻击漏洞 ...........................................................................................................7

7.1 漏洞原理及危害介绍 ............................................................................................7

9.2 修复建议 ................................................................................................................9

10. 启用了不安全的 HTTP 方法.............................................................................................9

10.1 漏洞原理及危害介绍 ............................................................................................9

10.2 修复建议 ................................................................................................................9

11. 直接访问管理页面漏洞 ...................................................................................................9

11.1 漏洞原理及危害介绍 ..................................................................................................9

11.2 修复建议 ......................................................................................................................9

12. Flash 参数 AllowScriptAccess 已设置为 always 漏洞 ................................................10

12.1 漏洞原理及危害介绍 ................................................................................................10

12.2 修复建议 ....................................................................................................................10

15. 硬编码密码 .....................................................................................................................14

15.1 漏洞原理及危害 ........................................................................................................14

15.2 修复建议....................................................................................................................14

16. 在配置文件中使用明文密码 .........................................................................................14

16.1 漏洞原理及危害介绍 ................................................................................................14

16.2 修复建议 ....................................................................................................................14

17. 弱加密漏洞 .....................................................................................................................19

17.1 漏洞原理及危害 ........................................................................................................19

17.2 修复建议 ....................................................................................................................20

18. 不安全的哈希算法漏洞 .................................................................................................21

20.1 漏洞原理及危害 ........................................................................................................23

20.2 修复建议 ....................................................................................................................24

21. XML 外部实体注入 .........................................................................................................24

21.1 漏洞原理及危害 ........................................................................................................24

21.2 修复建议 ....................................................................................................................25

22. 动态代码解析 .................................................................................................................27

22.1 漏洞原理及危害 ........................................................................................................27

22.2 修复建议 ....................................................................................................................27

23. 使用存在已知漏洞的组件 .............................................................................................27

23.1 漏洞原理及危害 ........................................................................................................27

1. 系统信息泄漏（System Information Leak）

出错");就行了，当然如果这样做了系统真的出错对维护来说确实是个困难。看

下面两段代码：

[java] view plain copy

</pre><pre name="code"

class="java">out.println("("+exception.getMessage()+")");

print.write(errorMessage);

根据选定屏幕的配置，此信息可转储到屏幕，也可以直接发送到打印机。在

某些情况下，版本信息正好可以准确地告诉攻击者入侵此系统的可能性有多大。

同样，错误消息也可以告诉攻击者入侵此系统的可能性究竟有多大。例如，一个

数据库错误消息可以揭示应用程序容易受到 SQL Injection 攻击。其他的错误消

可提供有用的统计资料，但其输出结果很容易预测，因此数据流容易复制。若安

全性取决于生成数值的不可预测性，则此类型不适用。密码学的 PRNG 通过可

产生较难预测的输出结果来应对这一问题。为了使加密数值更为安全，必须使攻

击者根本无法、或极不可能将它与真实的随机数加以区分。通常情况下，如果并

未声明 PRNG 算法带有加密保护，那么它有可能就是一个统计学的 PRNG，不

应在对安全性要求较高的环境中使用，其中随着它的使用可能会导致严重的漏洞

（如易于猜测的密码、可预测的加密密钥、会话劫持攻击和 DNS 欺骗）。