java_web应用安全编程指南

JAVA WEB安全编程指南文档信息文档名称JAV A WEB安全编程指南文档管理编号保密级别文档版本号 1.3制作人吴建强制作日期2012-1-16文档版本信息内容目录JAV A WEB安全编程指南 (1)1SQL注入漏洞分析及防范 (5)1.1漏洞原理及影响描述 (5)1.2漏洞常见应用场景 (5)1.3漏洞常见SQL操作 (5)1.4漏洞常见产生原因 (6)1.5漏洞检查方式 (6)1.6漏洞解决方案 (7)2XSS漏洞分析及防范 (9)2.1漏洞原理及影响描述 (9)2.2XSS漏洞分类 (10)2.3漏洞常见应用场景 (10)2.4漏洞常见产生原因 (12)2.5漏洞检查方式 (12)2.6漏洞解决方案 (12)3身份认证及会话管理 (14)3.1漏洞原理及影响描述 (14)3.2漏洞常见应用场景 (14)3.3漏洞常见产生原因 (14)3.4漏洞检查方式 (15)3.5漏洞解决方案 (16)4不安全的加密及存储 (17)4.1漏洞原理及影响描述 (17)4.2漏洞常见应用场景 (17)4.3漏洞常见产生原因 (18)4.4漏洞检查方式 (19)4.5漏洞解决方案 (19)5CSRF漏洞分析及防范 (20)5.1漏洞原理及影响描述 (20)5.2漏洞常见应用场景 (21)5.3漏洞常见产生原因 (21)5.4漏洞检查方式 (22)5.5漏洞解决方案 (22)6不安全的对象直接引用 (23)6.1漏洞原理及影响描述 (23)6.2漏洞常见应用场景 (23)6.3漏洞常见产生原因 (24)6.4漏洞检查方式 (24)6.5漏洞解决方案 (24)7未验证的转发及重定向 (25)7.1漏洞原理及影响描述 (25)7.2漏洞常见应用场景 (25)7.3漏洞常见产生原因 (25)7.4漏洞检查方式 (26)7.5漏洞解决方案 (26)8文件上传漏洞分析及防范 (26)8.1漏洞原理及影响描述 (26)8.2漏洞常见应用场景 (27)8.3漏洞常见产生原因 (27)8.4漏洞检查方式 (27)8.5漏洞解决方案 (28)9XXE(Xml eXternal Entity)注入攻击 (29)9.1漏洞原理及影响描述 (29)9.2漏洞常见应用场景 (29)9.3漏洞常见产生原因 (29)9.4漏洞检查方式 (30)9.5漏洞解决方案 (30)1SQL注入漏洞分析及防范1.1漏洞原理及影响描述动态应用需要使用数据库进行数据的持久化存储，应用需要对数据库进行查询、更新、删除等操作来实现业务逻辑，当应用程序没有对攻击者的输入进行正确处理时，攻击者的恶意输入做为参数将注入到应用对数据库的SQL操作中，因此导致SQL注入漏洞攻击。

SQL注入漏洞可以用来从数据库获取信息、修改信息、导出数据库记录、写文件、执行命令等操作，甚至有可能获取数据库管理及操作系统权限。

1.2漏洞常见应用场景•服务端应用程序从用户端获取输入，并将此参数作为SQL操作中的查询条件常见产品场景包括：查询文章信息、产品信息、个人信息、登录过程、按类型排序、搜索•服务端应用程序从用户端获取输入，并将此参数作为SQL操作中的更新/删除参数常见产品场景包括：更新产品信息、评论信息、商品信息、个人信息1.3漏洞常见SQL操作•where参数查询String sql="select*from content where id="+request.getParameter("id");•order by参数查询String sql="select*from content order by"+request.getParameter("type");•group by参数查询String sql="select*from content group by"+request.getParameter("type");•limit参数查询String sql="select*from content where type=”test”+”limit by0,”+request.getParameter("rec");•insert参数String sql="insert into content(type,value)values(“+request.getParameter("type")+”,”+request.getParameter("value")+”)”;1.4漏洞常见产生原因•SQL语句使用拼接，没有验证，不使用SQL转义示例：数据库整形字段，应验证参数是否为整形String sql="select*from content where id="+request.getParameter("id");ResultSet rs=stmt.executeQuery(sql);•SQL语句使用拼接，不使用预编译示例：对于order by查询，查询参数未进行验证，也没有使用预编译String sql="select*from content order by"+request.getParameter("type");ResultSet rs=stmt.executeQuery(sql);•错误使用预编译示例：错误的使用了预编译String sql="select*from content order by"+request.getParameter("type");PreparedStatement ps=con.prepareStatement(sql);示例：Hibernate中错误使用预编译Query unsafeHQLQuery=session.createQuery("from Inventory where\productID='"+userSuppliedParameter+"'");contacts=(List<Contact>)session.createSQLQuery("select*from Contactswhere id="+id).addEntity(Contact.class).list();1.5漏洞检查方式1.检查输入变量是否用来进行SQL操作2.检查输入变量是否进行了类型及输入符合性验证3.检查使用了输入变量的SQL操作是否采用了预编译1.6漏洞解决方案1.对输入变量进行符合性验证应对整形、数字、电子邮件、用户名、密码、生日、手机号码、身份证号码等数据类型及其它输入验证，验证包括对输入的长度、大小等，应确保输入符合应用逻辑，对不符合逻辑的输入采用默认值或返回错误，不要对用户的输入进行修正。

•验证整形int id;try{id=Integer.parseInt(request.getParameter("id"));}catch(Exception e){//使用默认值或直接返回错误。

id=0;}//检查是否符合业务逻辑。

if(id>100000)•使用正则验证用户名、邮箱、手机号码等,正则表达式应进行全部匹配，即起始至末尾的匹配。

String name=request.getParameter("name");//检查是否为空if(name==null)//检查长度if(name.length()<minLength||name.length()>maxLength）//检查用户名符合规则String patternName="^[A-Za-z0-9_-]{4,}$";//String patternEmail="^[A-Za-z0-9._%-]+@[A-Za-z0-9.-]+\\.[a-zA-Z]{2,4}$"//String patternIPAddress="^(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\\.){3}(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$"//String patternIPAddress="^(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\\.){3}(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$"//String patternUrl="^(^http://([\\w-]+\\.)+[\\w-]+(/[\\w-./?%&=]*)?$"//String patternMobile="^\\d{11,11}$";Pattern pattern=pile(patternName);Matcher matcher=pattern.matcher(name);boolean matchFound=matcher.find();//依照业务逻辑进行处理if(matchFound){return matcher.group(0);}else{return null;}2.使用预编译执行SQL操作示例1：先进行类型验证，然后使用预编译方式执行SQL语句//验证ID参数符合性int id;String type;try{id=Integer.parseInt(request.getParameter("id"));}catch(Exception e){id=0;//use default value or return Error }//验证type参数符合性String name=request.getParameter("name");String patternName="^[A-Za-z0-9_-]{4,}$";Pattern pattern=pile(patternName);Matcher matcher=pattern.matcher(name);boolean matchFound=matcher.find();if(!matchFound){name=”DEFAULT_VALUE”;}//使用预编译String sql="select*from content where id=?and name=?";ps.setInt(1,id);ps.setString(2,name);PreparedStatement ps=con.prepareStatement(sql);示例2：order by也要使用预编译String sql="select*from content order by?";PreparedStatement ps=con.prepareStatement(sql);ps.setString(1,request.getParameter("type"));示例3：Hibernate中使用预编译Query safeHQLQuery=session.createQuery("from Inventory whereproductID=:productid");safeHQLQuery.setParameter("productid",userSuppliedParameter);3.使用安全API进行SQL转义（不推荐）import org.owasp.esapi.ESAPI;import org.owasp.esapi.codecs.*;type=request.getParameter("type");//此处验证typeCodec MYSQL_CODEC=new MySQLCodec(0);//mysql模式转义\'String sql="select*from content where type="+ESAPI.encoder().encodeForSQL(MYSQL_CODEC,type) ResultSet rs=stmt.executeQuery(sql);2XSS漏洞分析及防范2.1漏洞原理及影响描述由于应用程序没有对输入变量实施正确的转义并输出到页面中，导致攻击者可以提交包含Javascirpt代码的输入，在程序输出时Javascript代码在浏览器中被解析执行。