建站
咨詢
售后
建站咨詢
新聞中心
什么不是java中易出現(xiàn)文件操作漏洞的方法
web安全
花垣ssl適用于網(wǎng)站、小程序/APP、API接口等需要進(jìn)行數(shù)據(jù)傳輸應(yīng)用場(chǎng)景，ssl證書未來(lái)市場(chǎng)廣闊！成為成都創(chuàng)新互聯(lián)的ssl證書銷售渠道，可以享受市場(chǎng)價(jià)格4-6折優(yōu)惠！如果有意向歡迎電話聯(lián)系或者加微信：13518219792（備注：SSL證書合作）期待與您的合作！
Java代碼審計(jì)——文件操作漏洞
?
jinyouxin
原創(chuàng)
關(guān)注
0點(diǎn)贊·152人閱讀
?
目錄
（一）、 文件操作漏洞簡(jiǎn)介
（二） 、漏洞發(fā)現(xiàn)與修復(fù)案例
2.1 文件包含漏洞
2.2 文件上傳漏洞
（三） 文件下載/讀取漏洞
（四）．文件寫入漏洞
（五）．文件解壓漏洞
小結(jié)
（一）、 文件操作漏洞簡(jiǎn)介
文件操作是 Java Web 的核心功能之一，其中常用的操作就是將服務(wù)器上的文件以流的形式在本地讀寫，或上傳到網(wǎng)絡(luò)上，Java 中的 File 類就是對(duì)這些存儲(chǔ)于磁盤上文件的虛擬映射。與我們?cè)诒镜赜?jì)算機(jī)上操作文件類似，Java 對(duì)文件的操作同樣包括上傳、刪除、讀取、寫入等。Java Web 本身去實(shí)現(xiàn)這些功能是沒(méi)有漏洞的，但是由于開(kāi)發(fā)人員忽略了一些細(xì)節(jié)，導(dǎo)致攻擊者可以利用這些細(xì)節(jié)通過(guò)文件操作 JavaWeb 本身的這一個(gè)功能，從而實(shí)現(xiàn)形如任意文件上傳、任意文件下載/讀取、任意文件刪除等漏洞，有的場(chǎng)景下甚至可以利用文件解壓實(shí)現(xiàn)目錄穿越或拒絕服務(wù)攻擊等，對(duì)服務(wù)器造成巨大的危害。
（二） 、漏洞發(fā)現(xiàn)與修復(fù)案例
2.1 文件包含漏洞
文件包含漏洞通常出現(xiàn)在由 PHP 編寫的 Web 應(yīng)用中。我們知道在 PHP 中，攻擊者可以通過(guò) PHP 中的某些包含函數(shù)，去包含一個(gè)含有攻擊代碼的惡意文件，在包含這個(gè)文件后，由于 PHP 包含函數(shù)的特性，無(wú)論包含的是什么類型的文件，都會(huì)將所包含的文件當(dāng)作 PHP 代碼去解析執(zhí)行。也就是說(shuō)，攻擊者可能上傳一個(gè)木馬后綴是 txt 或者 jpg 的一句話文件，上傳后利用文件包含漏洞去包含這個(gè)一句話木馬文件就可以成功拿到 Shell 了。
那么 Java 中有沒(méi)有類似的包含漏洞呢？回答這個(gè)問(wèn)題前，我們首先來(lái)看一看Java 中包含其他文件的方式
JSP 的文件包含分為靜態(tài)包含和動(dòng)態(tài)包含兩種：
靜態(tài)包含：%@include file="test.jsp"%。
動(dòng)態(tài)包含：jsp:include page="%=file%"/jsp:include、c:import url="%=url%"/c:import
由于靜態(tài)包含中 file 的參數(shù)不能動(dòng)態(tài)賦值，因此我目前了解的靜態(tài)包含不存在包含漏洞。相反，動(dòng)態(tài)包含中的 file 的參數(shù)是
java代碼審計(jì)工程師是做什么的
代碼審計(jì)：顧名思義就是檢查源代碼中的安全缺陷，檢查程序源代碼是否存在安全隱患，或者有編碼不規(guī)范的地方，通過(guò)自動(dòng)化工具或者人工審查的方式，對(duì)程序源代碼逐條進(jìn)行檢查和分析，發(fā)現(xiàn)這些源代碼缺陷引發(fā)的安全漏洞，并提供代碼修訂措施和建議。
java開(kāi)發(fā)畢業(yè)后可以找哪些工作
Java是一門很強(qiáng)大的編程語(yǔ)言，想學(xué)這個(gè)就業(yè)是沒(méi)問(wèn)題的，但是如果想跟別人不一樣，有更大的競(jìng)爭(zhēng)力及更高的工資，可以選擇JAVA安全開(kāi)發(fā)。因?yàn)榫W(wǎng)絡(luò)安全這塊很缺人，企業(yè)重金難聘人才，會(huì)JAVA的人有很多，但是會(huì)Java安全開(kāi)發(fā)的就聊聊無(wú)幾了，個(gè)人覺(jué)得是一個(gè)很好的方向。
具體崗位包括：安全開(kāi)發(fā)工程師、代碼審計(jì)工程師、安全測(cè)試工程師、安全架構(gòu)工程師、數(shù)據(jù)庫(kù)開(kāi)發(fā)工程師、Web前端工程師等
希望可以幫到你，謝謝!
代碼審計(jì)是什么？
代碼審計(jì)有什么好處
代碼審計(jì)指的156是檢查源代碼中的安全缺陷6991，檢查程序源代碼是否存在安全隱患3780，或者有編碼不規(guī)范的地方，通過(guò)自動(dòng)化工具或者人工審查的方式，對(duì)程序源代碼逐條進(jìn)行檢查和分析。
代碼審計(jì)是一種以發(fā)現(xiàn)程序錯(cuò)誤，安全漏洞和違反程序規(guī)范為目標(biāo)的源代碼分析，能夠找到普通安全測(cè)試所無(wú)法發(fā)現(xiàn)的安全漏洞。
那么，為什么需要做代碼審計(jì)？代碼審計(jì)能帶來(lái)什么好處？
99%的大型網(wǎng)站以及系統(tǒng)都被拖過(guò)庫(kù)，泄漏了大量用戶數(shù)據(jù)或系統(tǒng)暫時(shí)癱瘓，近日，英國(guó)機(jī)場(chǎng)遭勒索軟件襲擊，航班信息只能手寫。
提前做好代碼審計(jì)工作，非常大的好處就是將先于黑客發(fā)現(xiàn)系統(tǒng)的安全隱患，提前部署好安全防御措施，保證系統(tǒng)的每個(gè)環(huán)節(jié)在未知環(huán)境下都能經(jīng)得起黑客挑戰(zhàn)，進(jìn)一步鞏固客戶對(duì)企業(yè)及平臺(tái)的信賴。
通常來(lái)說(shuō)，“黑客”可以利用的漏洞無(wú)非有以下幾個(gè)方面：
1. 軟件編寫存在bug
2. 系統(tǒng)配置不當(dāng)
3. 口令失竊
4. 嗅探未加密通訊數(shù)據(jù)
5. 設(shè)計(jì)存在缺陷
6. 系統(tǒng)攻擊
大家可能就會(huì)問(wèn)了，哪些業(yè)務(wù)場(chǎng)景需要做好代碼審計(jì)工作？小型公司的官需要做嗎？
代碼審計(jì)的對(duì)象主要是PHP、JAVA、asp、.NET等與Web相關(guān)的語(yǔ)言，需要做代碼審計(jì)的業(yè)務(wù)場(chǎng)景大概分為以下五個(gè)：
1. 即將上線的新系統(tǒng)平臺(tái)；
2. 存在大量用戶訪問(wèn)、高可用、高并發(fā)請(qǐng)求的網(wǎng)站；
3. 存在用戶資料等敏感機(jī)密信息的企業(yè)平臺(tái)；
4. 互聯(lián)網(wǎng)金融類存在業(yè)務(wù)邏輯問(wèn)題的企業(yè)平臺(tái)；
5. 開(kāi)發(fā)過(guò)程中對(duì)重要業(yè)務(wù)功能需要進(jìn)行局部安全測(cè)試的平臺(tái)；
通常說(shuō)的整體代碼審計(jì)和功能點(diǎn)人工代碼審計(jì)區(qū)別嗎？
整體代碼審計(jì)是指代碼審計(jì)服務(wù)人員對(duì)被審計(jì)系統(tǒng)的所有源代碼進(jìn)行整體的安全審計(jì)，代碼覆蓋率為100%，整體代碼審計(jì)采用源代碼掃描和人工分析確認(rèn)相結(jié)合的方式進(jìn)行分析，發(fā)現(xiàn)源代碼存在的安全漏洞。但整體代碼審計(jì)屬于白盒靜態(tài)分析，僅能發(fā)現(xiàn)代碼編寫存在的安全漏洞，無(wú)法發(fā)現(xiàn)業(yè)務(wù)功能存在的缺陷。
整體代碼審計(jì)付出的時(shí)間、代價(jià)很高，也很難真正讀懂這一整套程序，更難深入了解其業(yè)務(wù)邏輯。這種情況下，根據(jù)功能點(diǎn)定向?qū)徲?jì)、通過(guò)工具做接口測(cè)試等，能夠提高審計(jì)速度，更適合企業(yè)使用。
功能點(diǎn)人工代碼審計(jì)是對(duì)某個(gè)或某幾個(gè)重要的功能點(diǎn)的源代碼進(jìn)行人工代碼審計(jì)，發(fā)現(xiàn)功能點(diǎn)存在的代碼安全問(wèn)題，能夠發(fā)現(xiàn)一些業(yè)務(wù)邏輯層面的漏洞。功能點(diǎn)人工代碼審計(jì)需要收集系統(tǒng)的設(shè)計(jì)文檔、系統(tǒng)開(kāi)發(fā)說(shuō)明書等技術(shù)資料，以便代碼審計(jì)服務(wù)人員能夠更好的了解系統(tǒng)業(yè)務(wù)功能。由于人工代碼審計(jì)工作量極大，所以需要分析并選擇重要的功能點(diǎn)，有針對(duì)性的進(jìn)行人工代碼審計(jì)。
安全的安全工程師都具備多年代碼審計(jì)經(jīng)驗(yàn)，首先通覽程序的大體代碼結(jié)構(gòu)，在根據(jù)文件的命名第一時(shí)間辨識(shí)核心功能點(diǎn)、重要接口。下面就介紹幾個(gè)功能、接口經(jīng)常會(huì)出現(xiàn)的漏洞：
1. 登陸認(rèn)證
a. 任意用戶登錄漏洞
b. 越權(quán)漏洞
2. 找回密碼
a. 驗(yàn)證碼爆破漏洞
b. 重置管理員密碼漏洞
3. 文件上傳
a. 任意文件上傳漏洞
b. SQL注入漏洞
4. 在線支付，多為邏輯漏洞
a. 支付過(guò)程中可直接修改數(shù)據(jù)包中的支付金額
b. 沒(méi)有對(duì)購(gòu)買數(shù)量進(jìn)行負(fù)數(shù)限制
c. 請(qǐng)求重訪
d. 其他參數(shù)干擾
5. 接口漏洞
a. 操作數(shù)據(jù)庫(kù)的接口要防止sql注入
b. 對(duì)外暴露的接口要注意認(rèn)證安全
經(jīng)過(guò)高級(jí)安全工程師測(cè)試加固后的系統(tǒng)會(huì)變得更加穩(wěn)定、安全，測(cè)試后的報(bào)告可以幫助管理人員進(jìn)行更好的項(xiàng)目決策，同時(shí)證明增加安全預(yù)算的必要性，并將安全問(wèn)題傳達(dá)到高級(jí)管理層，進(jìn)行更好的安全認(rèn)知，有助于進(jìn)一步健全安全建設(shè)體系，遵循了相關(guān)安全策略、符合安全合規(guī)的要求。
沒(méi)有jdk可以使用記事本寫代碼嗎
java 學(xué)習(xí)第零篇JDK安裝和記事本編輯JAVA
ARM830 2017-09-19 原文
用記事本來(lái)編寫java
首先你要安裝JDK。
第一步下載JDK。
這步不多BB。
第二部安裝JDK。
你要么改安裝地址或者默認(rèn)。
也不多BB。
第三步配置環(huán)境變量
WIN10為例：
此電腦 右鍵 屬性 高級(jí)系統(tǒng)設(shè)置
?
接著
?
然后打開(kāi)環(huán)境變量。
?
這是已經(jīng)配置好的。
首先你要新建，在系統(tǒng)變量里面新建
第一個(gè)是JAVA_HOME，值為你JDK的安裝位置。我的默認(rèn)是：C:\Program Files\Java\jdk1.8.0_111；
第二個(gè)是CLASSPATH，值為為JDK的兩個(gè)jar文件位置。分別是位于C:\Program Files\Java\jdk1.8.0_111\lib\dt.jar和C:\Program Files\Java\jdk1.8.0_111\lib\tools.jar
輸出前要注意有一個(gè)點(diǎn).
?
最后一個(gè)是PTAH，這是一個(gè)已經(jīng)有很多個(gè)位置的變量。
打開(kāi)之后是這樣子的
?
我們和新建兩個(gè)值。
分別是C:\Program Files\Java\jdk1.8.0_111\bin和C:\Program Files\Java\jdk1.8.0_111\jre\bin
之后保存就可以了。
之后再控制臺(tái)依次打java和JAVAC（重要的是JAVAC）
?
出現(xiàn)一堆奇怪的東西就行了。
這樣我們的JDK就配置好了
java 學(xué)習(xí)第零篇JDK安裝和記事本編輯JAVA的更多相關(guān)文章
java 學(xué)習(xí)第零篇JDK安裝和記事本編輯JAVA（2）
上面說(shuō)了如何安裝JDK那么這把就是來(lái)說(shuō)怎么用記事本編寫java 桌面上新建一個(gè)記事本 之后編寫: public class a{ public static void main(String [ ...
Java 學(xué)習(xí)（1） ---JDK安裝和配置環(huán)境變量
一,Java 開(kāi)發(fā)的第一步,就是安裝JDK(Java Development ToolKit Java開(kāi)發(fā)工具包) JDK 是Java開(kāi)發(fā)的核心,因?yàn)樗↗ava 運(yùn)行環(huán)境,工具包和命令.當(dāng)我們安 ...
java學(xué)習(xí)筆記(中級(jí)篇)—JDK動(dòng)態(tài)代理
一.什么是代理模式 相信大家都知道代理商這個(gè)概念,在商業(yè)中,代理商無(wú)處不在.假設(shè)你要去買東西,你不可能去找真正的廠家去買,也不可能直接跟廠家提出需求,代理商就是這中間的一橋梁,連接買家和廠商.你要買或 ...
Java學(xué)習(xí)（簡(jiǎn)介，軟件安裝）
1. Java概述: Java的發(fā)展可以歸納如下的幾個(gè)階段. (1)第一階段(完善期):JDK 1.0 ( 1995年推出)一JDK 1.2 (1998年推出,Java更名為Java 2): (2)第 ...
Java學(xué)習(xí)之注解篇
Java學(xué)習(xí)之注解篇 0x00 前言 續(xù)上篇文章,這篇文章就來(lái)寫一下注解的相關(guān)內(nèi)容. 0x01 注解概述 Java注解(Annotation)又稱Java標(biāo)注,是JDK5.0約會(huì)的一種注釋機(jī)制. 和J ...
從.Net到Java學(xué)習(xí)第十一篇——SpringBoot登錄實(shí)現(xiàn)
從.Net到Java學(xué)習(xí)系列目錄 通過(guò)前面10篇文章的學(xué)習(xí),相信我們對(duì)SpringBoot已經(jīng)有了一些了解,那么如何來(lái)驗(yàn)證我們的學(xué)習(xí)成果呢?當(dāng)然是通過(guò)做項(xiàng)目來(lái)證明啦!所以從這一篇開(kāi)始我將會(huì)對(duì)之前自己做 ...
Java學(xué)習(xí)之反射篇
Java學(xué)習(xí)之反射篇 0x00 前言 今天簡(jiǎn)單來(lái)記錄一下,反射與注解的一些東西,反射這個(gè)機(jī)制對(duì)于后面的java反序列化漏洞研究和代碼審計(jì)也是比較重要. 0x01 反射機(jī)制概述 Java反射是Java非 ...
Java學(xué)習(xí)之jackson篇
Java學(xué)習(xí)之jackson篇 0x00 前言 本篇內(nèi)容比較簡(jiǎn)單,簡(jiǎn)單記錄. 0x01 Json 概述 概述:JSON(JavaScript Object Notation, JS 對(duì)象簡(jiǎn)譜) 是一種 ...
【Java學(xué)習(xí)筆記之二十六】深入理解Java匿名內(nèi)部類
在[Java學(xué)習(xí)筆記之二十五]初步認(rèn)知Java內(nèi)部類中對(duì)匿名內(nèi)部類做了一個(gè)簡(jiǎn)單的介紹,但是內(nèi)部類還存在很多其他細(xì)節(jié)問(wèn)題,所以就衍生出這篇博客.在這篇博客中你可以了解到匿名內(nèi)部類的使用.匿名內(nèi)部類要注意 ...
隨機(jī)推薦
關(guān)于Intellij IDEA導(dǎo)入jdk出現(xiàn)異常
目前JDK出現(xiàn)的情況如下: 這里JavaJDK是有問(wèn)題的,因?yàn)橹挥衘re而沒(méi)有JDK.正確做法是重新安裝新的JDK. 正常的JDK下的目錄是這樣的: 選擇jdk開(kāi)頭的文件夾就可以了.
WPF基本概念入門
關(guān)于數(shù)據(jù)類型,有原子類型,列表類型,字典類型等等,而wpf對(duì)應(yīng)控件有contentControl,itemsControl,headerItemsControl等. 控件和類型一一對(duì)應(yīng),控件和類型之間 ...
phyton方面相關(guān)書籍
0基礎(chǔ):簡(jiǎn)明PYTHON教程;與孩子一起學(xué)編程. ...
手機(jī)定位室內(nèi)gps沒(méi)信號(hào)
手機(jī)定位一般分3種,gps,手機(jī)信號(hào)基站,上網(wǎng)地點(diǎn),其中g(shù)ps信號(hào)一般只有戶外有,所以在室外的時(shí)候只開(kāi)啟定位和gps就可以定位了,但是在室內(nèi)沒(méi)有g(shù)ps的情況,就需要開(kāi)網(wǎng)絡(luò)定位了.
ES6相關(guān)實(shí)用特性
本文總結(jié)ECMAScript6相關(guān)實(shí)用特性 目錄 let和const 箭頭函數(shù) class 對(duì)象字段 模板字符串 解構(gòu)賦值 函數(shù)參數(shù)擴(kuò)展 迭代器for...of 模塊加載 map和weakmap se ...
Python中str.format()字典及l(fā)ist傳入詳解
JavaScript基本概念B - 關(guān)于方法
方法也是對(duì)象 這個(gè)事需要反復(fù)強(qiáng)調(diào).方法是 類型 Function 的對(duì)象,和其他對(duì)象一樣,它也有方法. function gen() { return function ans(factor) { r ...
11-04 SQLserver基礎(chǔ)--連接查詢、聯(lián)合查詢、索引
一.子查詢補(bǔ)充: Exists的用法: select*from haha where exists(select*from bumen where bumen.code=haha.bumen,and ...
c#抓取網(wǎng)頁(yè)數(shù)據(jù)
寫了一個(gè)簡(jiǎn)單的抓取網(wǎng)頁(yè)數(shù)據(jù)的小例子,代碼如下: //根據(jù)Url地址得到網(wǎng)頁(yè)的html源碼 private string GetWebContent(string Url) { string strRe ...
CentOS和Ubuntu系統(tǒng)下安裝vsftp（助推大數(shù)據(jù)部署搭建）
不多說(shuō),直接上干貨! 同時(shí),聲明,我這里安裝的vsftp,僅僅只為我的大數(shù)據(jù)著想,關(guān)于網(wǎng)上的復(fù)雜安裝,那是服務(wù)和運(yùn)維那塊.我不多牽扯,也不多贅述. 一.CentOS系統(tǒng)里安裝vsftp 第一步:使用y .
為什么java代碼審計(jì)資料很少
上面我寫的是“熟悉”，這只是對(duì)剛?cè)胄械耐瑢W(xué)說(shuō)的，作為代碼審計(jì)來(lái)說(shuō)，熟練編寫代碼程序是必須的，要想深度化發(fā)展，精通一門語(yǔ)言是必經(jīng)之路。
知識(shí)一-變量逆向跟蹤
在代碼審計(jì)中，按業(yè)務(wù)流程審計(jì)當(dāng)然是必須的，人工的流程審計(jì)的優(yōu)點(diǎn)是能夠更加全面的發(fā)現(xiàn)漏洞，但是缺點(diǎn)是查找漏洞效率低下。如果要定向的查找漏洞，逆向跟蹤變量技術(shù)就顯得更加突出，如查找XSS、SQL注入、命令執(zhí)行……等等，逆向查找變量能夠快速定位漏洞是否存在，本次已SQL注入為例。
什么是逆向跟蹤
顧名思義，逆向跟蹤就是對(duì)變量的逆向查找，開(kāi)始全局查找出可能存在漏洞的觸發(fā)點(diǎn)，然后回溯參數(shù)到前端，查看參數(shù)來(lái)源已經(jīng)參數(shù)傳遞過(guò)程中的處理過(guò)程。
本文名稱：java開(kāi)發(fā)和代碼審計(jì),java開(kāi)發(fā)和代碼審計(jì)哪個(gè)好
本文URL：http://www.dlmjj.cn/article/phecsi.html
