当前位置：首页 > news >正文

FindSecBugs支持的检测规则

news 2026/2/10 11:59:50

很多SAST集成了FindSecBugs这个开源工具，其好处是直接对Class文件进行检测，也就是直接检测二进制问题，可以直接检测war、jar，还是非常方便的。虽然误报率较高，但是这些检测出来的安全漏洞很多是安全从业人员耳熟能详的漏洞，所以，可能感觉还不错的。

分类	规则名称
加密类	使用弱信任管理器
	使用弱密码哈希函数
	使用弱SSL/TLS协议
	使用自定义HASH加密算法
	十六进制转换错误
	不安全的Hazelcast对称加密
	使用不安全的NullCipher
	未加密的套接字
	未加密的服务器Socket
	AES应该代替DES
	AES应该代替DESede
	没有适当填充的RSA密码
	使用弱密钥大小的Blowﬁsh算法
	使用弱密钥大小的RSA
	初始化向量（IV）未正确生成
	不提供完整性的密码
	不安全的SMTP SSL链接
	通过错误消息检测可能的信息泄露
JSP	远程包含JSP动态输入文件攻击
	Spring表达式动态变量
	禁用特殊XML字符的转义可能会导致XSS漏洞
	提供恶意XSLT触发远程控制攻击
Android	外部存储上的文件访问
	SendBroadcast()方法调用存在安全隐患
	使用创建模式MODEWORLDREADABLE写入的文件存在安全隐患
	Geolocation API的安全隐患
	启用了JavaScript的WebView存在安全隐患
	带JavaScript接口的WebView
CSRF	Spring CSRF（跨站请求伪造）保护禁用
CSRF	无限制的Spring的RequestMapping使该方法容易受到CSRF攻击
注入类	AWS查询注入
	JavaBean参数注入
	潜在的命令行注入
	自定义方法注入
	ActionForward填充了用户控制的参数
	以格式字符串参数检测用户输入
	将用户控制的输入连接到URL
	潜在的LDAP注入
	未经验证的重定向
	潜在的SQL注入
	应用程序在会话属性中混合可信和不可信数据
密码类	对易受定时攻击影响的哈希的不安全比较
	硬编码密码
	硬编码加密密钥
Spring类	使用Spring Framework进行未经验证的重定向
模板类	使用Velocity模板存在潜在注入
模板类	使用Freemarker模板存在潜在注入
Xpath注入类	潜在的XPath注入
XSS攻击类	XSSRequestWrapper是一种弱XSS保护机制
	JSP中潜在的XSS
	Servlet中潜在的XSS
cookie存储类	Cookie设置时间过长
	URL重写安全风险
	使用Cookie存储敏感信息
	没有设置安全标志的Cookie
文件类	潜在的路径遍历
文件类	由FileUpload API提供的文件名可以被客户端篡改
序列化类	不安全的Jackson反序列化配置
序列化类	对象反序列化
LDAP	LDAP实体投毒
LDAP	匿名LDAP绑定
XML	XML解析容易受到XXE外部实体攻击
	使用XMLDecoder解析用户提供的数据是不安全的
	恶意XSLT可触发远程代码执行
其它	FilenameUtils不过滤空字节
	HTTP拆分攻击
	Structs表单没有输入验证
	定义了一种过度宽松的跨源资源共享（CORS）策略
	检测可预测伪随机生成器（PRG）的使用
	正则表达式可以通过一些输入呈指数增长
	潜在的外部控制配置
endpoint	Struts Action问题
	使用SpringMVC Controller问题
	使用Tapestry Pages问题
	使用Wicket WebPage问题
	来自ServletRequest和HttpServletRequest请求的参数值不安全
	使用Struts2问题

FindSecBugs支持的检测规则

很多SAST集成了FindSecBugs这个开源工具，其好处是直接对Class文件进行检测，也就是直接检测二进制问题，可以直接检测war、jar，还是非常方便的。虽然误报率较高，但是这些检测出来的安全漏洞很多是安全从业人员耳熟能详的…...

编程日记 2023/12/3 11:45:26

【WPF.NET开发】WPF.NET桌面应用开发概述

本文内容为何从 .NET Framework 升级使用 WPF 进行编程标记和代码隐藏输入和命令控件布局数据绑定图形和动画文本和版式自定义 WPF 应用 Windows Presentation Foundation (WPF) 是一个与分辨率无关的 UI 框架，使用基于矢量的呈现引擎，构建用于利用现…...

编程日记 2023/12/3 11:43:24

态势感知是什么

在当今高度信息化的时代，信息安全风险已经成为企业、政府和个人的重要关注点。为了有效应对这些风险，态势感知成为了一种日益重要的能力。态势感知是一种基于环境的、动态、整体地洞悉安全风险的能力，是以安全大数据为基础，从全局…...

编程日记 2023/12/3 11:41:23

Spring MVC常用的注解, Controller注解的作用,RequestMapping注解的作用 @ResponseBody注解的作用

文章目录 Spring MVC常用的注解和注解的相关作用Controller注解的作用RequestMapping注解的作用ResponseBody注解的作用PathVariable和RequestParam的区别 Spring MVC常用的注解和注解的相关作用 RequestMapping：用于处理请求 url 映射的注解，可用于类或…...

编程日记 2023/12/3 11:37:19

「Verilog学习笔记」自动贩售机1

专栏前言本专栏的内容主要是记录本人学习Verilog过程中的一些知识点，刷题网站用的是牛客网自动贩售机中可能存在的几种金额：0，0.5，1，1.5，2，2.5，3。然后直接将其作为状态机的几种状…...

编程日记 2023/12/3 11:36:18

【大模型】更强的 ChatGLM3-6B 来了，开源可商用

【大模型】更强的 ChatGLM3-6B 来了，开源可商用简介ChatGLM3-6B 环境配置环境搭建安装依赖代码及模型权重拉取拉取 ChatGLM3-6B拉取 ChatGLM3-6B 模型权重及代码终端测试网页测试安装 gradio加载模型并启动服务参考简介 ChatGLM3-6B ChatGLM3-6B 是 ChatGLM …...

编程日记 2023/12/3 11:35:17

Maxscript到Python转换工具教程

Maxscript到Python转换器教程 Maxscript到Python转换器采用MAXScript程序，将其解析为语法树，然后从语法树中生成等效的Python代码。通过提供python的自动翻译，帮助python程序员理解maxscript示例。【项目状况】将正确解析最正确的maxcript…...

编程日记 2023/12/3 11:34:16

Spark_日期参数解析参数-spark.sql.legacy.timeParserPolicy

在Apache Spark中，spark.sql.legacy.timeParserPolicy是一个配置选项，它控制着时间和日期解析策略。此选项主要影响如何解析日期和时间字符串。在Spark 3.0之前的版本中，日期和时间解析使用java.text.SimpleDateFormat，它在解析…...

编程日记 2023/12/3 11:32:14

C语言之结构体

一.前言引入. 我们知道在C语言中有内置类型，如：整型，浮点型等。但是只有这些内置类型还是不够的，假设我想描述学⽣，描述⼀本书，这时单⼀的内置类型是不⾏的。描述⼀个学⽣需要名字、年龄、学号、⾝⾼、体…...

编程日记 2023/12/3 11:31:13

【蓝桥杯软件赛零基础备赛20周】第5周——高精度大数运算与队列

文章目录 1. 数组的应用–高精度大数运算1.1 Java和Python计算大数1.2 C/C高精度计算大数1.2.1 高精度加法1.2.2 高精度减法 2. 队列2.1 手写队列2.1.1 C/C手写队列2.1.2 Java手写队列2.1.3 Python手写队列 2.2 C STL队列queue2.3 Java队列Queue2.4 Python队列Queue和deque2.5 …...

编程日记 2023/12/3 11:30:13

C#:程序发布的大小控制

.net不讨喜有个大原因就是.net平台本身太大了，不同版本没有兼容性，程序依赖哪个版本用户就要安装哪个版本，除非你恰好用的是操作系统默认安装的版本——问题是不同版本操作系统默认安装的不一样。所以打包程序就很头疼，不打包平台…...

编程日记 2023/12/3 11:29:12

Python中的split()、rsplit()、splitlines()的区别

split、rsplit、splitlines的区别 1、split()2、rsplit()3、splitlines() Python提供了三种字符串分割的方法：split()、rsplit()和splitlines()；本文主要通过案例介绍这三种字符串分割函数的区别 1、split() split()主要用于从左向右匹配分割符进行分割…...

编程日记 2023/12/3 11:28:11

上位机开发框架：QT与winform/wpf对比

QT QT 是一个跨平台的 C 应用程序框架，它提供了丰富的 UI 组件和功能强大的网络通信、数据库操作等模块。QT 的优势在于其良好的跨平台性能，可以方便地部署在 Windows、Linux、macOS 等不同操作系统上。此外，QT 还具有强大的 UI 设计能力&am…...

编程日记 2023/12/3 11:27:10

一、读取tiff 图 dev_close_window () dev_open_window (0, 0, 512, 512, black, WindowHandle)xResolution:0.0025 yResolution:0.0025 zResolution:0.001 read_image (IntputImage, C:/Users/alber/Desktop/2023-08-15_16-38-24-982_/Sta5_002.tif) zoom_image_factor (Intpu…...

编程日记 2023/12/3 11:25:08

详解Spring中基于注解的Aop编程以及Spring对于JDK和CGLIB代理方式的切换

😉😉 学习交流群： ✅✅1：这是孙哥suns给大家的福利！ ✨✨2：我们免费分享Netty、Dubbo、k8s、Mybatis、Spring...应用和源码级别的视频资料 🥭🥭3：QQ群：583783…...

编程日记 2023/12/3 11:22:06

百度/抖音/小红书/微信搜索品牌形象优化怎么做？

搜索口碑是网络营销不可或缺的一部分，企业如何做好品牌搜索口碑优化呢？小马识途营销顾问建议从以下几方面入手。 1. 通过关键字优化提高自身知名度通过对竞争对手和目标客户的关键字进行分析，企业可以确定哪些关键字可以提高自身品牌知名度。…...

编程日记 2023/12/3 11:21:05

爬虫学习（三）用beautiful 解析html

安装库 import requests from bs4 import BeautifulSoup headers {"User-Agent" : "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/119.0.0.0 Safari/537.36 Edg/119.0.0.0"} for start_num in range(0,250…...

编程日记 2023/12/3 11:20:04

OSG编程指南＜十四＞：OSG纹理渲染之普通纹理、多重纹理、Mipmap多级渐远纹理及TextureRectangle矩阵纹理

1、纹理映射介绍物体的外观不仅包括形状，不同物体表面有着不同的颜色和图案。一个简单而有效地实现这种特性的方法就是使用纹理映射。在三维图形中，纹理映射（Texture Mapping）的方法运用广泛，使用该技术可以大大提高物…...

编程日记 2023/12/3 11:17:01

Langchain-Chatchat的安装过程

参考：LLMs之RAG：LangChain-Chatchat(一款中文友好的全流程本地知识库问答应用)的简介(支持 FastChat 接入的ChatGLM-2/LLaMA-2等多款主流LLMs多款embe_一个处女座的程序猿的博客-CSDN博客 1、安装过程中出现了 GPU驱动版本是11.8 而 python -c "…...

编程日记 2023/12/3 11:15:00