【悟空云课堂】第三十九期：违反信任边界（CWE-501: Trust Boundary Violation）

关注公众号“中科天齐软件安全中心”（id：woocoom），一起涨知识！

该栏目为中科天齐全新规划的悟空云课堂，每周五下午18:00准时上线，旨在科普软件安全相关知识，助力企业有效防范软件安全漏洞，提升网络安全防护能力。

什么是违反信任边界？
让数据从不受信任的一边移到受信任的一边却未经验证。

违反信任边界漏洞的构成条件有哪些？
当程序模糊了受信任和不受信任之间的界限时，就会发生信任边界冲突。

违反信任边界漏洞会造成哪些后果？
开发者更容易错误地相信那些未被验证的数据，导致未经验证的数据被攻击者利用。信任边界可以被认为是画在程序中的一条线，线的一侧是不受信任数据；另一侧，我们认为数据是可以被信任的。

一个受信任的边界可以被认为是由系统划出的边境，例如session（包括HttpSession和HttpServletContext容器）、attribute、application、数据库、文件等在服务端存储边界都认为是受信任的。

反之来自HTTP的post或者get方式取得参数值是不受信任的。凡是将非受信任边界的参数转入到受信任的边界内，需要对参数值进行检查，否则造成信任边界违例。如果没有建立和维护良好的信任边界，开发者将不可避免地失去对哪些数据已经验证、哪些没有验证的跟踪。这种混乱最终将允许一些数据在没有首先验证的情况下使用。

违反信任边界漏洞的防范和修补方法有哪些？
增加验证逻辑让数据安全地穿过信任边界，即从不受信任的一边移到受信任的一边。

违反信任边界漏洞样例：

public void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {String username = request.getParameter("username");
HttpSession session = request.getSession();
session.setAttribute("username",username);  //没有验证username是否可信任
//其它语句
}

用Wukong检测上述程序代码，则可以发现代码中存在着“空密码” 导致的代码缺陷，如下图：

违反信任边界漏洞在CWE中被编号为CWE-501: Trust Boundary Violation

更多的信息请参考CWE官网：http://cwe.mitre.org/data/definitions/501

了解更多安全资讯请关注公众号【中科天齐软件安全中心】

【悟空云课堂】第三十九期：违反信任边界（CWE-501: Trust Boundary Violation）相关推荐

【悟空云课堂】第二十六期：通过错误消息导致的信息暴露（CWE-209:Generation of Error Message Containing Sensitive Information）
关注公众号"中科天齐软件安全中心"(id:woocoom),一起涨知识! 该栏目为中科天齐全新规划的悟空云课堂,每周五下午18:00准时上线,旨在科普软件安全相关知识,助力企业有效 ...
【悟空云课堂】第十四期：使用已破解或危险的加密算法导致的漏洞（CWE-327: Use of a Broken or Risky Cryptographic Algorithm）
关注公众号"中科天齐软件安全中心"(id:woocoom),一起涨知识! 该栏目为中科天齐全新规划的悟空云课堂,每周五下午18:00准时上线,旨在科普软件安全相关知识,助力企业有效 ...
【悟空云课堂】第十期：日志伪造漏洞（CWE-117: Improper Output Neutralization for Logs）
关注公众号"中科天齐软件安全中心"(id:woocoom),一起涨知识! 该栏目为中科天齐全新规划的悟空云课堂,每周五下午18:00准时上线,旨在科普软件安全相关知识,助力企业有效 ...
【悟空云课堂】第二十三期：对XML外部实体引用的不当限制（CWE-611 ：Improper Restriction of XML External Entity Reference）
关注公众号"中科天齐软件安全中心"(id:woocoom),一起涨知识! 该栏目为中科天齐全新规划的悟空云课堂,每周五下午18:00准时上线,旨在科普软件安全相关知识,助力企业有效 ...
【悟空云课堂】第十二期：LDAP注入漏洞（CWE-90: Improper Neutralization of Special Elements used in an LDAP Query）
关注公众号"中科天齐软件安全中心"(id:woocoom),一起涨知识! 该栏目为中科天齐全新规划的悟空云课堂,每周五下午18:00准时上线,旨在科普软件安全相关知识,助力企业有效 ...
Rigetti完成英国量子计算机的搭建；拓扑量子计算遭遇严重的挫折 | 全球量子科技与工业快讯第三十九期
Rigetti完成英国量子计算机的搭建 Rigetti及其合作伙伴已经在英国完成了首个量子计算系统的建设,并计划在2022年初通过Rigetti量子云服务提供该系统.这台商用量子计算机是英国的第一台, ...
sed 第n行后加入_【高新课堂】第一百三十九期Liunx运维17个实用技巧
来源:高效运维 1.查找前目录下所有以.tar结尾的文件然后移动到指定目录 find . -name "*.tar" -exec mv {}./backup/ ; 注解:find ...
第三十九期:1024特别版：向“程序媛们”致敬！
对女性程序员而言,似乎怎么选择都是错:闯入男性领地,输了,会强化社会对女性的固有刻板印象:赢了,打破了职业性别固化,会导致整个职业收入的下降. 作者:奇点.轻音 "到家得十二点半了,我现在真 ...
第一百三十九期:11月数据库排行：排名前三数据库分数暴跌
DB-Engines 数据库流行度排行榜 11 月更新已发布,与上期数据相比,这期排行榜最大的亮点就是排名前三数据库那引人注目的"红色"分数. 作者:局长 DB-Engines 数 ...

【悟空云课堂】第三十九期：违反信任边界（CWE-501: Trust Boundary Violation）

【悟空云课堂】第三十九期：违反信任边界（CWE-501: Trust Boundary Violation）相关推荐

最新文章

热门文章