悟空云课堂丨代码安全第三十一期:使用错误的运算符进行字符串比较
中科天齐软件源代码安全检测中心
共 534字,需浏览 2分钟
·
2021-05-25 16:25
中科天齐倾情打造《悟空云课堂》旨在科普软件安全相关知识,助力企业有效防范软件安全漏洞,提升网络安全防护能力。本期主题为使用错误的运算符进行字符串比较缺陷漏洞的相关介绍。
一、什么是使用错误的运算符进行字符串比较缺陷?
比较字符串时,使用了错误的运算符,例如当应使用equals()方法代替时,使用“==”。
二、使用错误的运算符进行字符串比较缺陷的构成条件有哪些?
使用“==”运算符比较字符串。
三、使用错误的运算符进行字符串比较缺陷会造成哪些后果?
在Java中,使用”==”或”!=”比较两个字符串是否相等,实际上是比较两个对象是否相等,而不是它们的值。两个对象很可能永远不会相等。虽然该缺陷通常只影响程序的正确性,但如果将相等性用于安全决策,则可能会影响程序的安全性。
四、使用错误的运算符进行字符串比较缺陷的防范和修补方法有哪些?
使用equals()比较字符串。
五、使用错误的运算符进行字符串比较缺陷样例:
用静态代码检测分析上述程序代码,则可以发现代码中存在着“使用错误的运算符进行字符串比较” 导致的代码缺陷,如下图:
使用错误的运算符进行字符串比较缺陷在CWE中被编号为CWE-597:Use of Wrong Operator in String Comparison
评论