gitee 奇安信代码卫士使用

注册 gitee 账号后，push 一个项目，或者 fork 一个别人的项目，这里 fork 了一个 java-sec-code 靶场，使用的是个人版，像是低配版的 fortify

在项目的 服务 项下，选择奇安信代码卫士

创建分析

新建分析，支持选择分支，支持扫描的语言：php、java/jsp、python、c/c++，java 版本最高支持 1.8，点击提交

扫描完成

点击任务名，跳转到风险内容页面

点击漏洞点，显示源码，sink 点高亮

下面有详细的污点数据跟踪、漏洞描述信息、修复建议

跟踪路径图

漏洞描述和案例

详细的修复建议和示例

java 支持的类型
代码注入API误用代码质量密码管理异常处理资源管理跨站脚本输入验证配置管理HTTP响应截断 [Java]不安全的框架绑定 [Java]byte数组转String时未指定编码 [Java]明文密码 [Java]finally代码块中抛出异常 [Java]数据库访问控制 [Java]反射型XSS [Java]EL表达式注入：Spring [Java]Spring Boot配置错误：不安全的Actuator [Java]HTTP响应截断：Cookies [Java]使用DNS名称作为安全性的依据 [Java]Cookie：未经过SSL加密 [Java]配置文件中的明文密码 [Java]捕获NullPointerException [Java]资源未释放：Sockets [Java]存储型XSS [Java]JavaScript劫持 [Java]不安全的反序列化组件 [Java]SQL注入 [Java]文件泄露：JavaEE [Java]Cookie：未设置HTTPOnly属性 [Java]泛化的抛出异常 [Java]资源未释放：数据库 [Java]弱验证 [Java]拒绝服务：StringBuilder [Java]SQL注入：MyBatis [Java]Cookie：路径范围过大 [Java]泛化的捕获异常 [Java]资源未释放：流 [Java]跨站请求伪造 [NodeJS]文件上传 [Java]XML外部实体注入 [Java]JavaEE程序：直接使用Socket [Java]空的catch代码块 [Java]文件上传 [NodeJS]XML实体扩展注入 [Java]JavaEE程序：直接管理数据库连接 [Java]有风险的资源使用 [Java]不安全的反序列化 [Java]JavaEE程序：遗留的调试代码 [Java]服务器端请求伪造 [Java]动态解析代码 [Java]使用equals()来判断字符串是否为空 [Java]缺少XML验证 [Java]命令注入 [Java]使用getHost判断域名 [Java]访问权限修饰符控制 [Java]有风险的XML外部实体解析 [Java]使用单个字符字符串获取索引位置 [Java]路径遍历 [Java]有风险的XML实体扩展解析 [Java]创建String对象 [Java]重定向 [Java]有风险的反序列化 [Java]受限制的账户 [SQL]资源注入 [Java]可序列化类中存在可序列化的敏感信息 [Java]日志记录：使用系统输出流 [Java]未使用的字段 [Java]比较Locale相关的数据未指定适当的Locale [Java]硬编码URL地址 [Java]硬编码文件分隔符 [Java]空的方法 [Java]系统信息泄露：Spring Boot启用执行器 [Java]系统信息泄露：标准错误流 [Java]过于宽松的CORS策略 [Java]遗留的调试代码 [NodeJS]隐藏的表单字段 [NodeJS]