思客云开源软件安全漏洞检测系统

思客云开源软件安全漏洞检测产品随时信息技术的发展和国家网络安全法的发布，信息和网络安全问题越来越受到重视。而如今的黑客攻击最主要的手段就是利用应用系统中所存在的安全漏洞。近几年，特别是“心脏出血”安全漏洞曝发以后基于开源软件漏洞2017年增长20%随时信息技术的发展和国家网络安全法的发布，信息和网络安全问题越来越受到重视。而如今的黑客攻击最主要的手段就是利用应用系统中所存在的安全漏洞。近几年，特别是“心脏出血”安全漏洞曝发以后，利用应用系统中常见的开源软件的漏洞进行大规模的黑客攻击行为屡见不鲜，他们最常用和最简单的方法就是通过一个已知的开源框架的安全漏洞，对同一类型的应用系统发动相同的攻击，如针对相同的银行的网银类系统，或者是针对政府的门户网站类系统进行大规模的攻击，如果被攻击的应用系统还没有及时及对开源框架的漏洞进行修复，就可以很轻松地拿下这个应用系统。根据权威机构对开源项目所收集到的统计数据预测到，基于开源软件漏洞的网络攻击活动数量在2017年增长20%。开源软件漏洞管理——软件安全保障新挑战据统计，商业软件项目的免费版本数量已经超过了50%甚至更多，而开源软件产品所占比重从2011年的3%增长到了现在的33%。平均每一款商业软件都会使用超过100个开源组件，而且三分之二的商业应用代码中已知是存在安全漏洞的。以JAVA应用为例，由于开发的模式和开发框架技术的发展，几乎很难找到一个完全不使用开源框架的应用系统，如JAVA的开源开发框架：Struts,Spring,Hibernate等几乎成了JAVA应用系统开发的标准配置，无论是政府门户网站，银行的网上银行系统，电商的销售平台，企业内部OA系统，甚至移动应用的服务器端系统都是在使用这些开源框架。但Struts2的安全漏洞却是一波为平一波又起，如下图，2016年4月26日，Struts2漏洞血洗互联网。如下图，是Apatch官网从2013年4月以后所统计的Struts2开源软件的安全漏洞就有55个之多:

ApacheStruts2DocumentationCHILDPAGESNHomeSecurityBulletinsApacheStruts2DocumentationCHILDPAGESNHomeSecurityBulletins82-001kS2-002LS2-003S2-004S2-005S2-006S2-007S2-008S2-009S2-010S2-011S2-012S2-013S2-0140Spacetools■ «S2-026—SpecialtopobjectcanbeusedtoaccessStruts'internalsS2-027—TextParseUtil.translateVariablesdoesnotfiltermaliciousOGNLexpressionsS2-028—UseofaJREwithbrokenURLDecoderimplementationmayleadtoXSSvulnerabilityinStruts2basedwebapplications.S2-029—ForceddoubleOGNLevaluation,whenevaluatedonrawuserinputintagattributes,mayleadtoremotecodeexecution.S2-030—PossibleXSSvulnerabilityin11SNInterceptorS2-031—XSLTResultcanbeusedtoparsearbitrarystylesheetS2-032—RemoteCodeExecutioncanbeperformedviamethod:prefixwhenDynamicMethodInvocationisenabled.S2-033—RemoteCodeExecutioncanbeperformedwhenusingRESTPluginwith!operatorwhenDynamicMethodInvocationisenabled.S2-034—OGNLcachepoisoningcanleadtoDoSvulnerabilityS2-035—ActionnamecleanupiserrorproneS2-036—ForceddoubleOGNLevaluation,whenevaluatedonrawuserinputintagattributes,mayleadtoremotecodeexecution(similartoS.S2-037—RemoteCodeExecutioncanbeperformedwhenusingRESTPlugin.S2-038—ItispossibletobypasstokenvalidationandperformaCSRFattackS2-039—GetterasactionmethodleadstosecuritybypassS2-040—Inputvalidationbypassusingexistingdefaultactionmethod.S2-041—PossibleDoSattackwhenusingURLValidatorS2-042—PossiblepathtraversalintheConventionpluginS2-043——UsingtheConfigBrowserplugininproductionS2-044—PossibleDoSattackwhenusingURLValidatorS2-045—PossibleRemoteCodeExecutionwhenperformingfileuploadbasedonJakartaMultipartparser.S2-046—PossibleRCEwhenperformingfileuploadbasedonJakartaMultipartparser(similartoS2-045)S2-047—PossibleDoSattackwhenusingURLValidator(similartoS2-044)S2-048—PossibleRCEintheStrutsShowcaseappintheStruts1pluginexampleinStruts2.3.xseriesS2-049—ADoSattackisavailableforSpringsecuredactionsS2-050—AregularexpressionDenialofServicewhenusingURLValidator(similartoS2-044&S2-047)S2-051—AremoteattackermaycreateaDoSattackbysendingcraftedxmlrequestwhenusingtheStrutsRESTpluginS2-052—PossibleRemoteCodeExecutionattackwhenusingtheStrutsRESTpluginwithXStreamhandlertohandleXMLpayloadsS2-053——ApossibleRemoteCodeExecutionattackwhenusinganunintentionalexpressioninFreemarkertaginsteadofstringliteralsS2-054—AcraftedJSONrequestcanbeusedtoperformaDoSattackwhenusingtheStrutsRESTpluginS2-055—ARCEvulnerabilityintheJacksonJSONlibrary思客云开源软件安全漏洞检测系统思客云正是根据用户目前所面临的这一问题，结合多年的安全漏洞检测技术经验，独立自主地研发一套自动化开源软件安全漏洞检测系统。该系统是在企业内部建立一个开源框架漏洞应急响应云平台，它能够在漏洞发布的最短时间内自动化主动地探测开源框架漏洞的发布信息，到在企业内部对所有应用系统是否使用有安全漏洞的开源框架的具体情况进行快速检测，并及时通知应用系统的相关管理人员进行快速修补。将这一安全漏洞事件的危害降到最小。

该检测系统是一套集开源软件安全漏洞收集，开源软件安全检查管理、安全检查漏洞报警及发布、安全策略执行、开源软件安全漏洞知识分享等为一体的综合性开源软件安全漏洞应急响的平台级系统。这套系统将大大地方便企业级用户在开源软件组件漏洞曝露的改变传统软件安全测试工具的使用方式，成为企业级的产品解决方案。思客云■开源代码检测漏洞最多的项目ToplO崛目吕橙测配苴zbg-webl.0-2.5.1-3doud-5caner252椅婚情开源代踊辟zbg-Webl.&-2.5.1-3 血⑴诉盼1■开源代码检测漏洞最多的项目ToplO崛目吕橙测配苴zbg-webl.0-2.5.1-3doud-5caner252椅婚情开源代踊辟zbg-Webl.&-2.5.1-3 血⑴诉盼1showcasecloudStanerjfirial_demQelixra-scAner2-5^■1showcase—『cloud-web3.1出现次数最多的漏洞ToplO漏洞名CVE-2016-3082y^CVE-2017-CVE-2016-3082y^CVE-2017-12611CVE-2017-12611CVE-2016-a093CVE-2016-4436192.163.0.ISiOO/dcHjd&ecure/task/listTatal＞具体一个项目的检测详情报告:查看白名单导出报吉下载查看白名单导出报吉下载Exce服告项目名称：＜JAVA_Webgoat＞项目版本：11.0序号名称版本已知风险踣径操作1struts2-rest-plugin2.3.7CVE-2017-9805 臼CVE-2017-9793 E3lib\lib\WebGoat5.0\WebContent\WEB-INRIib\stnjts2-rest-plugin-2.3.7.jarCVE-2016-0785CVE-2016-4003CVE-2013-4316CVE-2013-4310CVE-2013-2248CVE-2013-2251CVE-2013-2135CVE-2013-2115CVE-2013-1966CVE-2012-4387CVE-2011-3923CVE-2011-1772struts2-coreCVE-2016-3093lib\lib\WebGoat5.0\WebContent\WEB-INF\lib\stnjts2-core-.jar宙计struts2-coreCVE-2016-3093lib\lib\WebGoat5.0\WebContent\WEB-INF\lib\stnjts2-core-.jar宙计CVE-2015-5209CVE-2014-0112CVE-2014-7809CVE-2014-0116CVE-2014-0094CVE-2012-4386CVE-2017-12611CVE-2016-4461CVE-2016-3082＞思客云开源软件漏洞管理平台提供不同开发语言下的开源软件的每个漏洞的解释说明，修复建议和参考资料：思客云开源框架安全漏洞知识平台rW开源框架漏洞知识库:■US导入漏洞库曰0JAVAOMaven卜。xmltoolingrW开源框架漏洞知识库:■US导入漏洞库曰0JAVAOMaven卜。xmltooling-chOjackrabbitswagger-parserSQLitemqttZuuloWittptomcat-nativeCVE-2018-1308漏洞名称(CVE):ImproperRestrictionofXMLExternalEntityReference('XXE')漏洞名称(CVE): XML外部扩展漏洞名称(CNNVD): ApacheSolrDatalmportHandler安全漏洞bOxmlsec日€3SolrLO远程反序列化代码执行漏洞(CVE-2019I1-0XML外瀚嘱(CVE-2(H8~13O8)ICVE^^：CVE-2018-1308CNNVg号:CNNVD-201804Y15危险等级：High影响版本：solr-core:1.2.0-6.6.2;solr-core:7.0.0-7.2.1j-0XML外部扩展(CVE-2018-8010)!0跨站点脚本(XSS)(CVE-2015-8795)1-0跨站点脚本(XSS)(CVE-2014-3628)〔。跨站点脚本(XSS)(CVE-2015-879