Question

我要求获得申请标的=和;届会反对、修改和使用。虽然所有东西都奏效,但我正从Fortification(为了更多的目的)https://www.fortification.com/vulncat/en/vulncat/sql/trust_boundary_violation.html .

任何关于如何解决这一问题的想法?

Answer 1

信托边界暴力往往不是解决问题的简单内容。为了真正理解这一点,你需要与安全审计员和你的建筑师会面,确定什么是信任边界。为此,为您的应用打下了逻辑结构,包括切身、终端用户和所有其他系统,这些应用需要与用户连接。

然后,在申请中需要保护的部分周围划出一线。这条线内的一切都令人困惑,你不必检查......它收集了所有数据,这些数据大概由您的开发商创建,否则就会被你的输入验证功能所困扰,而且你肯定这只是你所期望的数据。 (见 https://www.owasp.或g/index.php/Data_Validation )

现在,藏匿在哪里?

如果它位于信任边界内,那么这种“信任边界暴力”是一种虚假的正面行为,你可以制造一个过滤器,以便如果来文方来自该档案或包裹,这个问题就会被掩盖。你的过滤器将研究这样的问题:

类别:“不信任边界侵犯”一揽子计划:com.example.mycache Package

或

categ或y:"trust boundary violation" file:MyCacheObject.java
If the cache is outside the trust boundary, then the assumption is that the attacker may use the cache as a mechanism to attack your program 或 users. Then you have to check all the data every time you put data into the cache 或 take anything out of the cache.

Once you ve defined the validation function(s) f或 the cache mechanism, your security audit或或 F或tify consultant will write a custom validation rule that will make all the fixed issues disappear.

友情链接