手把手教你Java项目源码安全审查！

你知道的越多，不知道的就越多，业余的像一棵小草！

你来，我们一起精进！你不来，我和你的竞争对手一起精进！

编辑：业余草

来源：cnblogs.com/xdecode/p/9252113.html

推荐：https://www.xttblog.com/?p=5064

最近业务需要出一份Java Web应用源码安全审查报告，对比了市面上数种工具及其分析结果，基于结果总结了一份规则库。本文目录结构如下:

检测工具

FindSecurityBugs

基于class文件分析，他是大名鼎鼎的findbugs的插件，安装比较简单。在findbugs官网(http://findbugs.sourceforge.net/downloads.html)下载安装包，插件jar，把jar放到findbugs-3.0.1\plugin目录。

打开 bin 路径下的 findbugs.bat 启动软件。在菜单栏 - 编辑 - 选项可以查看插件是否启用成功。

新建项目，输入名称，选择需要分析的class路径。引用的第三方包地址，源码路径，点击Analyze即可。

最终生成的结果可以转为html报告，也可以导出xml文件，在findbugs分析查看。本文主要关注Security一栏。

代码卫士

360 出品，名声似乎不太好，误报比较多，不过结果也有一定的参考价值。如果代码在码云的话，点服务一栏，可以在线扫描码云库里的源码，本地代码要去官网申请试用。

扫描结果截图如下所示：

Fortify

HP出品的老牌扫描工具，网上有破解的。安装过程一路next即可。最后启动AuditWorkBench，选择scan java project，耐心等待。

结果跟 findbugs 类似。

CodePecker

啄木鸟源码分析，国内的一款也是基于字节码分析的工具，提供了一个收费的在线审计平台。知乎有不少软文，没找到免费试用的地方，放弃了。

代码注入

命令注入

命令注入是指应用程序执行命令的字符串或字符串的一部分来源于不可信赖的数据源，程序没有对这些不可信赖的数据进行验证、过滤，导致程序执行恶意命令的一种攻击方式。

String dir = request.getParameter("dir");
Process proc = Runtime.getRuntime().exec("cmd.exe /c dir" + dir);

修复方式

如果攻击者传递了一个 dir 形式为"dummy && del c:\dbms\."的字符串，那么该段代码将会在执行其他指定命令的同时执行这条删除命令。

1. 程序对非受信的用户输入数据进行净化，删除不安全的字符。

2. 限定输入类型, 创建一份安全字符串列表，限制用户只能输入该列表中的数据。

// 方式1
if (!Pattern.matches("[0-9A-Za-z@.]+", dir)) {//业余草，公众号
    // Handle error
}

// 方式2
int number = Integer.parseInt(request.getParameter("dir"));
switch (number) {
    case 1:
        btype = "tables"
        break; // Option 1
    case 2:
        btype = "users"
        break; // Option 2
    ......

HTTP响应截断

程序从一个不可信赖的数据源获取数据，未进行验证就置于HTTP头文件中发给用户，可能会导致HTTP响应截断攻击。

String author = request.getParameter(AUTHOR_PARAM);
... 
Cookie cookie = new Cookie("author", author);
cookie.setMaxAge(cookieExpiration);
response.addCookie(cookie);

那么如果攻击者提交的是一个恶意字符串，比如“Wiley Hacker\r\nHTTP/1.1 200 OK\r\n...”，那么HTTP响应就会被分割成以下形式的两个响应：

HTTP/1.1 200 OK    

 ...    

Set-Cookie: author=Wiley Hacker    

HTTP/1.1 200 OK    

...

这样第二个响应已完全由攻击者控制，攻击者可以用所需的头文件和正文内容构建该响应实施攻击。

修复方式

防止HTTP响应截断攻击的最安全的方法是创建一份安全字符白名单，只接受完全由这些受认可的字符组成的输入出现在HTTP响应头文件中。

String author = request.getParameter(AUTHOR_PARAM);
if (Pattern.matches("[0-9A-Za-z]+", author)) {
    ...
    Cookie cookie = new Cookie("author", author);
    cookie.setMaxAge(cookieExpiration);
    response.addCookie(cookie);
}

SQL注入

SQL注入是一种数据库攻击手段。攻击者通过向应用程序提交恶意代码来改变原SQL语句的含义，进而执行任意SQL命令，达到入侵数据库乃至操作系统的目的。

String sqlString = "SELECT * FROM db_user WHERE username = '" 
    + username + "' AND password = '" + pwd + "'"; 
Statement stmt = connection.createStatement(); 
ResultSet rs = stmt.executeQuery(sqlString); 

攻击者能够替代username和password中的任意字符串，它们可以使用下面的关于password的字符串进行SQL注入。

SELECT * FROM db_user WHERE username='' AND password='' OR '1'='1' 

修复方式

造成SQL注入攻击的根本原因在于攻击者可以改变SQL查询的上下文，使程序员原本要作为数据解析的数值，被篡改为命令了。防止SQL注入的方法如下：

1. 正确使用参数化API进行SQL查询。

2. 如果构造SQL指令时需要动态加入约束条件，可以通过创建一份合法字符串列表，使其对应于可能要加入到SQL指令中的不同元素，来避免SQL注入攻击。

String sqlString = "select * from db_user where username=? and password=?";
PreparedStatement stmt = connection.prepareStatement(sqlString);
stmt.setString(1, username);
stmt.setString(2, pwd);
ResultSet rs = stmt.executeQuery();

正则表达式注入

数据被传递至应用程序并作为正则表达式使用。可能导致线程过度使用 CPU 资源，从而导致拒绝服务攻击。

下述代码 java 中字符串的split，replaceAll均支持正则的方式，导致CPU挂起。

final String input = "0000000000000000000000000000000000000000000000";
long startTime = System.currentTimeMillis();
System.out.println(input.split("(0*)*A"));
System.out.println("耗时:" + (System.currentTimeMillis() - startTime) + "ms");

• 该正则的意思是说匹配器在输入的末尾并没有检测到”A”。现在外侧的限定符后退一次，内存的则前进一次，如此重复，无法得到结果。

• 因此，匹配器逐步回退，并尝试所有的组合以找出匹配符号。它最终将返回(没有匹配的结果)，但是该过程的复杂性是指数型的(输入中添加一个字符加倍了运行时间)

修复方式

使用线程池 + Future，限定执行时间，并捕获异常。

ExecutorService service = Executors.newFixedThreadPool(1);
Future result = service.submit(new Callable