java开发安全性问题_Java安全开发Java Security Develop
1. 拒绝服务 DDOS
xml外部实体攻击(阻塞)
定义⽩名单
⾃定义 EntityResolver 接⼝
过滤 systemID
⽂件资源释放:
final InputStream in = new FileInputStream(file);
try {
use (in);
} finally {
{} in.close();
java源代码加密}
数据库资源释放
connection，statement，resultset
注意实现⽅法：配置实现/编码实现
2. 敏感信息
避免直接输出异常信息
try {
excute(Exception e) {
e.printStackTrace();
}
}
避免⽇志输出 sensitive info
if (loginSuccessful) {
logger.save("User.."+name+...)
}
3. 注⼊问题
使⽤函数对外部输⼊标准化
// Nomalize
s = alize(s, Form.NFKC);
// Validate (declare or make legally valid)
Pattern pattern = Patternpile("[<>]");
Matcher matcher = pattern.mattcher(s);
if (matcher.find()) {
// Found black listed tag
throw new IllegalStateException();
}
动态SQL
参数化查询
PreparedStatement prep = conn.prepareStatement("SELECT * FROM USERS WHERE PASSWORD = ?"); prep.setString(1, pwd);
过滤敏感字符
前端过滤 服务器端过滤
'|and|exec|insert|select|delete|upadte|count|* |'
XML 注⼊问题
XSD约束，过滤敏感字符
Xpath注⼊
命令⾏注⼊
<() 过滤，⽩名单 绕过不使⽤()，使⽤api来 ls/dir
正则表达式注⼊
4. 可访问性和扩展性
限制类，接⼝，⽅法和字段的可访问
包的访问权限，防⽌反射
Final类和⽅法。不允许扩展类和⽅法声明final
5. 序列化和反序列化 Transient
在包含系统资源的直接句柄和相对地址空间信息的字段前使⽤ transient 关键字。
如果资源，如⽂件句柄不声明为transient，该对象在序列化状态下可能被修改，从⽽使反序列化获取对资源的不当访问。敏感资源加密后再序列化。
6. 编码问题
调⽤⽅法的返回值(错误⽰范)
public void deleteFile() {
File someFile = new File("")
// do something with some File
someFile.delete();
}
正确⽰范:
public void deleteFile() {
;
if (!someFile.delete()){
// handle faiure to delete the file
}
}
空指针引⽤
NullPointerException 判断是否为空
整数溢出
向上类型转换，使⽤BigInteger
== 与 equals
类型，地址的⽐较的不同
在⽐较对象时，未明确实现equals的类会导致继承java.lang.Object的equal
⽽Object.equals()将⽐较两个对象实例⽽不是对象成员，所以equals⽅法要尽量重写返回数组问题
安全代码
public class XXX {
private String[] xxx;
public String[] getXXX() {
String temp[] = pyof(...);
return temp;
}
}
读取字节/符流
使⽤int类型的返回值，防⽌byte中255补码为-1中⽌
安全代码
FileInputStream in;
// initialize stream
int inbuff;
byte data;
while((ad()) !=-1) {
data=(byte)inbuff;
// ...
}
FileReader in;
/
/initialize stream
int inbuff;
char data;
while((ad() !=-1)) {
data=(char)inbuff;
// ...
}
本地⽅法调⽤安全
载⼊时传⼊参数检查，防⽌java平台之外的问题Double解析问题
java.lang.Double.parseDouble() 6.0版本以下的漏洞7. 第三⽅组件安全问题
测试 加固 更新
8. 程序设计与检测
程序仅仅实现指定功能
永不信任⽤户输⼊
必须考虑异常情况并处理
不在error之后继续执⾏
尽可能的使⽤安全函数
使⽤源码检测产品

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。