漏洞扫描解决方案汇总

输入验证：路径遍历

new File()修改为org.apache.commons.io.FileUtils.getFile()

代码注入：有风险的SQL查询：MyBatis

同代码注入：SQL注入：MyBatis

输入验证：访问权限修饰符控制

使用ReflectionUtils.makeAccessible(method);代替/method.setAccessible(true);

密码管理：不安全的随机数

使用SecureRandom secureRandom = new SecureRandom();替代Random random = new Random();

密码管理：硬编码密码

从配置文件中获取经过加密的密码值并解密使用

@Component
public class SignatureBySM4AndSM2 {private static final Logger log = LoggerFactory.getLogger(SignatureBySM4AndSM2.class);private static ClientThreadPool connectPool;private static HSMWSTApiServiceImp imp;public static String password;@Value("${mimajiPwd}")public void setPassword(String mimajiPwd) {SignatureBySM4AndSM2.password = mimajiPwd;}}

密码管理：配置文件中的明文密码

项目中引入jasypt组件

<dependency><groupId>com.github.ulisesbocchiogroupId><artifactId>jasypt-spring-boot-starterartifactId><version>2.1.1version>
dependency>

使用jasyot对密码进行加密

@Component
public class JasypRunner implements ApplicationRunner {@Overridepublic void run(ApplicationArguments args) throws Exception {
//     System.out.println(" 加解密密码");
//     BasicTextEncryptor basicTextEncryptor = new BasicTextEncryptor();
//     //加密的盐
//     basicTextEncryptor.setPassword("F!X%pGCD?Z");
//     String key = "";
//     key = "Uf7Nu7KHWId02d";
//     System.out.println(key+"---加密后 = " + basicTextEncryptor.encrypt(key));
//     key = "dameng123";
//     System.out.println(key+"---加密后 = " + basicTextEncryptor.encrypt(key));
//     key = "7fc6wYb2Vj";
//     System.out.println(key+"---加密后 = " + basicTextEncryptor.encrypt(key));
//     key = "0Uvd4wU3e";
//     System.out.println(key+"---加密后 = " + basicTextEncryptor.encrypt(key));
//     key = "Uf7Nu39AU0sW";
//     System.out.println(key+"---加密后 = " + basicTextEncryptor.encrypt(key));​    //String decrypt = basicTextEncryptor.decrypt(ruphie);
​    //System.out.println("解密后 = " + decrypt);}
}

在项目启动参数中增加–jasypt.encryptor.password=F!X%pGCD?Z

资源管理：格式化缺陷

保证DecimalFormat对象每次都是从ThreadLocal中获取的

private static ThreadLocal<DecimalFormat> tl = new ThreadLocal<>();private static DecimalFormat getDecimalFormat() {if (tl.get() == null) {tl.set(new DecimalFormat("######0.00"));}//保证DecimalFormat对象每次都是从ThreadLocal中获取的return tl.get();
}

代码质量：系统信息泄露：外部

不允许返回e.getMessage()，可以修改成如下格式

return AjaxResult.error("请求地址"+requestURI+",不支持"+e.getMethod()+"请求");

代码质量：比较Locale相关的数据未指定适当的Locale

可以在对字符串处理前，将默认的Locale设置为English。

Locale.setDefault(Locale.ENGLISH);

代码质量：硬编码IP和代码质量：硬编码手机号码和密码管理：硬编码加密密钥

1.都配置在配置文件里面

public static String decryptKey;@Value("${decryptKey}")
public void setDecryptKey(String decryptKey) {DrinEncryptUtils.decryptKey = decryptKey;
}

2.有的可能是测试代码，注释掉

代码质量：null引用

引用对象之前增加 !=null 判断，有的工具类如CollectionUtils.isNotEmpty()不能使用

if (hideColumnList!=null) {util.hideColumn(hideColumnList.toArray(new String[100]));
}

资源管理：资源未释放：流

要在finally里面使用in.close();关闭，不能使用IOUtils.closeQuietly(in)关闭

finally {if (in!=null){try {in.close();} catch (IOException e) {log.error("关闭输入流失败{}", e.getMessage());}}
}

密码管理：空的加密密匙

不允许出现空密钥，注释掉

本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！

立即
投稿

微信公众账号

微信扫一扫加关注

返回
顶部