大型软件申报系统20161013安全扫描报告

"大型软件申报系统20161013.pdf是一个关于软件安全扫描的报告，由Checkmarx工具在2016年10月13日执行，扫描了254,783行代码，涉及422个文件。报告创建于次日，展示了该软件存在的安全风险分布情况。扫描类别为完整扫描，使用的Checkmarx版本为7.1.5HF3，团队为Net1。报告中提到了缺陷密度，即每10,000行代码中存在7个漏洞。报告还列出了高、中、低风险的文件以及最常见的缺陷类型，并详细分析了不同风险级别的问题数量，包括新问题、反复出现的问题和已修复的问题。" 该扫描报告中揭示了几个关键的安全问题和概念： 1. **缺陷密度**：这是一个衡量软件安全性的指标，表示每10,000行代码中平均有多少个漏洞。在这个例子中，缺陷密度为7，意味着软件中可能存在较高的安全风险。 2. **高风险文件**：ConfigManager.java、InController.java、CommonController.java、StorageManager.java和ActionEnter.java是扫描结果显示的最易受攻击的文件。这些文件可能需要特别关注并优先处理安全问题。 3. **风险级别**：报告列出了五个最高风险类别，包括： - 反射型跨站脚本（ReflectedXSSAllClients）：当用户输入未经验证或过滤直接反射到页面上时，可能导致的安全漏洞。 - 存储型跨站脚本（StoredXSS）：用户提交的数据被存储在服务器端，然后在其他用户访问时被注入到页面中，造成安全威胁。 - 输入未规范化（UnnormalizeInputString）：不正确的数据处理可能导致攻击者输入恶意代码。 - 信任边界违规（TrustBoundaryViolation）：当软件未能正确验证外部输入与内部系统的交互时发生，可能让攻击者突破安全防护。 - 输入未被规范化（InputNotNormalized）：类似UnnormalizeInputString，表示对用户输入的处理不足，增加了被攻击的风险。 4. **状态分配**：报告详细展示了问题的不同状态，如新问题、反复出现的问题和已确认的问题，帮助团队追踪和管理修复进度。 5. **不可利用**和**紧急**状态：表明某些问题可能并不构成实际威胁，或者需要立即处理的严重问题。 6. **客户端安全问题**：报告中还包括了如客户端潜在的跨站脚本（ClientPotentialXSS）、客户端DOM跨站请求伪造（ClientDOMXSRF）、会话固定（SessionFixation）和客户端隐私侵犯（ClientPrivacyViolation）等客户端相关的安全风险，这些都需要开发者从客户端角度考虑安全性。 7. **循环条件中的未检查输入**（UncheckedInputforLoopCondition）：这种问题通常发生在循环结构中，未对用户输入进行适当检查，可能允许攻击者控制循环行为，导致安全漏洞。 这份报告为软件开发团队提供了宝贵的反馈，指出了需要优先解决的安全问题和改进方向，以提升软件的整体安全性。