CWE ID 470：Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection‘)

问题描述
不安全的反射漏洞，是指应用程序使用具有反射功能的外部输入来选择要使用的类或代码，可能被攻击者利用而输入或选择不正确的类或代码。
攻击者可能通过该漏洞，执行未经授权的代码或命令、改变执行逻辑、读取应用程序数据等，严重的还会导致应用程序崩溃、退出或重启。

Bad Code

Class<?> clz = Class.forName(className);

解决方案

Class<?> clz = Class.forName(Normalizer.normalize(className,Normalizer.Form.NFC));

使用normalize方法对外部输入字符串做归一化/标准化，确保具有相同意义的字符串具有统一的二进制描述, 对外部输入字符串进行归一化后再校验可以避免一些潜在的问题。
但normalize方法也存在缺点，输入字符串太长的话转换效率会比较低，所以最好还是结合实际按需使用。

参考资料
CWE – http://cwe.mitre.org/data/definitions/470.html
不安全的反射漏洞 – https://blog.csdn.net/Tianqi_Wukong/article/details/112861781
Codedex Unsafe Reflection – https://blog.csdn.net/VioletHan7/article/details/103300534
Java之Normalizer(归一化)：https://oscar.blog.csdn.net/article/details/105326270
关于Normalizer.normalize()方法的用途：https://blog.csdn.net/u010512607/article/details/79921353

CWE ID 470：Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection‘)相关推荐

CWE ID 338：Use of Cryptographically Weak Pseudo-Random Number Generator (PRNG)
问题描述产品在安全上下文中使用了伪随机数生成器(PRNG),但加密性不强. Bad Code // ANTI-PATTERN, do not copy-paste // On windows, de ...
分布式id生成器：彻底解决雪花算法时间回拨问题
Butterfly 简介雪花算法是twitter提出的分布式id生成器方案,但是有三个问题,其中前两个问题在业内很常见: 时间回拨问题机器id的分配和回收问题机器id的上限问题 Butterfl ...
服务器直接ip登录显示令牌错误,事件ID 18456：用户域\计算机名登录失败。原因: 基于令牌的服务器访问验证失败，出现基础结构异常...
事件ID 18456:用户登录失败. 原因: 基于令牌的服务器访问验证失败,出现基础结构错误事件类型:审核失败事件来源:MSSQLSERVER 事件种类:登录事件 ID:18456 日期:201 ...
生成ID模板：年月日时分秒+6位自增码
由于生成订单ID.商品ID 或者什么什么ID的,不想用自增,又怕重复,于是就用年与日时分秒 + 6位自增码 (共计20位长度)来当作ID 注意:如果你的ID是Long型,就要注意,Long的最大长 ...
Vue.js 极简小例：表单（输入框 input、文本域 textarea、单选框 radio、下拉菜单 selected、复选框 checkbox）
前些天发现了一个巨牛的人工智能学习网站,通俗易懂,风趣幽默,忍不住分享一下给大家.点击跳转到教程. 代码: <template> <div > <p>------- ...
mysql中对一个表的id建立了唯一索引，那么查询的select count(*) ,select count(1) ,select count(id)，select count(列名)
1.mysql中对一个表的id建立了唯一索引,那么查询的select count(*) ,select count(1) ,select count(id),select count(列名) 的查询结 ...
解决报错SyntaxError：Unexpected end of JSON input
跳转页面传递参数 var selectWorker = JSON.stringify(selectWorker); uni.navigateTo({url: '../recordForm/record ...
Keras之DNN：利用DNN算法【Input(8)→12+8(relu)→O(sigmoid)】利用糖尿病数据集训练、评估模型(利用糖尿病数据集中的八个参数特征预测一个0或1结果)
Keras之DNN:利用DNN算法[Input(8)→12+8(relu)→O(sigmoid)]利用糖尿病数据集训练.评估模型(利用糖尿病数据集中的八个参数特征预测一个0或1结果) 目录输出结果 ...
SCALA Linux安装：JAVA.LANG.NUMBERFORMATEXCEPTION: FOR INPUT FOR INPUT STRING: “0X100“
SCALA安装:JAVA.LANG.NUMBERFORMATEXCEPTION: FOR INPUT FOR INPUT STRING: "0X100" 问题描述 Linux终端输 ...
Mac解压Linux平台tar包报错：tar: Error reading Truncated input file
1.报错:tar: Error reading Truncated input fileMac使用tar命令解压Linux平台tar包报错,需要安装gnu-tar来解压. 2.解决 # brew in ...

CWE ID 470：Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection‘)

CWE ID 470：Use of Externally-Controlled Input to Select Classes or Code (‘Unsafe Reflection‘)相关推荐

最新文章

热门文章