代码审计 - 是木木呐Beta的小屋

一、什么是代码审计

是指对软件源代码进行系统性检查，旨在费县安全漏洞、逻辑缺陷和编码规范问题。

它是网络安全里白盒测试的核心手段，相比渗透测试（黑盒，从外部攻击），代码审计直接从内部看，能发现更深层的隐患。

核心目标：

挖掘安全漏洞：找出如SQL注入、XSS跨站脚本、命令执行等高危风险。
检查业务逻辑：发现越权操作、支付篡改、流程绕过等自动化工具扫不出的问题。
保障合规质量：确保代码符合行业标准（如：等保2.0），并消灭硬编码密码，冗余代码等。

在实际操作中，通常采用“自动化工具（SAST扫描+人工深度研判）”结合的方式。

自动化扫描：用工具快速跑遍全量代码，就出已知风险模式（如：格式化字符串风险）
人工审计（核心）：由安全专家追溯污点数据流（追踪用户输入如何进入敏感函数），并仔细推演身份认证、加密实现等复杂逻辑。因为业务逻辑漏洞几乎只能靠人工“读”出来。

什么时候做代码审计：

通常在上线前或重大版本更新时进行。对于金融、政务、以及互联网基础设施等系统。它是强制性的合规“入场券”。

二、审计流程

2.1 标准审计5步流程

信息收集：确认技术栈（Java/Python/Go/JS等）、框架版本、依赖库清单（揪出已知的漏洞组件）
静态扫描：跑自动化工具（如：Fortify、SonarQube）做初步“体检”，筛除高危告警。
人工确认：去重误报，重点追踪污点传播路径（参数点-->函数处理点），并深入审计核心的权限校验和加密逻辑。
渗透验证：对疑似漏洞编写PoC（概念验证代码）实际打一下，确认漏洞是否能真的被利用，排除环境影响。
报告输出：整理问题清单，附上修复建议和验证截图。

2.2 主流的审计工具

商业重型（企业级）
- Fortify（规则全，适合Java/C++）、Checkmarx（交互式扫描，误报相对较低）。
开源轻量
- SonarQube：侧重代码异常。
- Semgrep：规则可自定义，适合定制化审计。
- CodeQL：语义分析极强，适合挖0day

2.3 注意事项

新手最容易忽略的“高危险区”

身份越权：只看是否登录，没看“操作人ID”是否等于“资源所属人ID”
文件操作：允许上传JSP/PHP后缀，或路径中带../导致目录穿越
框架特性：如：Spring Boot的Actuator未授权、Shiro反序列化漏洞。

2.4 交付物

通常包含《漏洞风险等级表》（高危/中危/低危）、代码修复示例（不一定但正常来说要有，带Diff对比）以及安全编码规范建议，

2.6 当前市场代码审计

传统审计派：有些项目具有极高的保密要求，严禁使用公网的AI模型。但当下，自己又没有属于自己的本地大模型。只能纯手工。
纯大模型派（LLM）审计：直接让大模型读代码找漏洞。
- 优点是能理解业务逻辑，挖出深层逻辑缺陷。但面临“注意力稀释（模型幻觉）”全量的投喂效果差、结果波动大、成本高等工程化难题。
静态工具（SAST）+AI增强
- 目前最主流的务实路径。先用Semgrep、CodeQL等传统工具快速扫描，再由AI对结果进行深度研判，极大降低误报。
更进一步：AI正进化为具备完整闭环能力的AI Agent（智能体）
- 深度挖掘：分析跨文件数据流、调用链和复杂业务上下文。
- 自动验证：编写PoC（概念验证）代码再沙箱中验证漏洞真实性。
- 智能修复：自动生成补丁并测试，又开发者最终确认。

AI与代码审计的结合已经进入“人机协同”的深水区。当前最有效的模式就是结合传统SAST工具的确定性与大模型的语义理解能力。

未来的代码审计，将越来越多地依赖于能自主规划、验证和修复的AI Agent。虽然挑战仍然存在，但也在不断的减轻安全专家的繁重和重复劳动。而可以更多的攻克更加复杂的业务逻辑漏洞。

三、危险组件检测

3.1 查看pom.xml

3.1.1 介绍

该文件用于管理：源代码、配置文件、开发者的信息和角色、问题追踪系统、组织信息、项目授权、项目的URL、项目的依赖关系等等。
一个完整的pom.xml文件，放置在项目的根目录下。

3.1.2 安全组件版本

fastjson安全版本：

要求在1.2.80以上

shirio安全版本：1.8.0

在1.8.0之前将Apache Shiro与Spring Boot配合使用时，特制的HTTP请求可能会导致身份验证绕过。
在1.7.1之前，当Apache Shiro 与Sping 一起使用时，特制的HTTP请求可能会导致身份验证绕过。
在1.7.0之前版本存在身份验证绕过漏洞，特制的HTTP请求可能会导致身份验证绕过。

log4j2安全版本

Java8 以上 >= 2.17.1
Java7 以上 >= 2.12.4
Java6 以上 >= 2.3.2

Xstram安全版本

1.4.14以上

🖥️ Web服务器与代理

中间件/框架	建议安全版本 / 修复措施	参考依据
Nginx	稳定版: 1.30.3 或更高主线版: 1.31.1 或更高	修复了CVE-2026-9256等多个漏洞
Apache HTTP Server	2.4.68 或更高	2026年6月发布的安全更新
OpenResty	1.29.2.4 或更高	集成了Nginx核心多个CVE漏洞的补丁
TongHttpServer (东方通)	联系厂商获取安全更新	官方发布安全提示，修复了模块风险

🗄️ 应用服务器

中间件/框架	建议安全版本 / 修复措施	参考依据
Apache Tomcat	11.0.24, 10.1.57, 或 9.0.120 及更高	修复了CVE-2026-59084等严重漏洞
Oracle WebLogic	应用2026年7月关键补丁更新(CPU)	修复了包括CVSS 9.9的CVE-2026-60206在内的11个漏洞
JBoss EAP	8.1.6 或更高	Red Hat于2026年5月发布的安全更新
WebSphere	8.5.5.30, 9.0.5.29, 或 Liberty 26.0.0.8 及更高	修复了CVE-2026-11594等多个漏洞
WildFly	40.0.1.Final 或更高	2026年6月发布，包含多项安全更新
Jetty	12.0.31, 12.1.5 或更高	修复了多个安全漏洞
东方通TongWeb	联系厂商获取安全更新	存在反序列化远程代码执行漏洞
金蝶Apusic	联系厂商获取安全更新	官方公告修复了JSP源码泄露漏洞
宝兰德BES	联系厂商获取安全更新	需通过"版本号 + 补丁号"方式确认安全状态

📨 消息中间件

中间件/框架	建议安全版本 / 修复措施	参考依据
Apache ActiveMQ	5.19.8 或 6.2.7 及更高	修复了CVE-2026-49434等多个漏洞
RabbitMQ	3.13.15, 4.0.20, 4.1.11, 4.2.6, 或 4.3.0 及更高	修复了两个CVSS评分超过9.0的身份认证绕过漏洞
Apache Kafka	3.9.2, 4.0.2, 4.1.2 或更高	修复了CVE-2026-33558等信息泄露漏洞
Apache RocketMQ	4.9.6 或 5.1.1 及更高	修复了多个安全漏洞

💾 缓存与数据库中间件

中间件/框架	建议安全版本 / 修复措施	参考依据
Redis	保持到官方发布的最新稳定版（如7.4.8, 8.6.3）	修复了CVE-2026-23631, CVE-2026-25243等远程代码执行漏洞
Elasticsearch	8.19.17, 9.3.6, 或 9.4.3 及更高	修复了多个安全漏洞
Apache Cassandra	4.0.20, 4.1.11, 或 5.0.7 及更高	修复了认证用户可导致拒绝服务的漏洞

☁️ 微服务与云原生

中间件/框架	建议安全版本 / 修复措施	参考依据
Spring Framework	7.0.8, 6.2.19, 6.1.27, 或 5.3.48 及更高	修复了CVE-2026-41842 (DoS) 等多个漏洞
Spring Boot	4.0.6, 3.5.16, 或 3.4.20 及更高	修复了CVE-2026-40976等漏洞
Spring Cloud	按组件升级，如Config 4.2.7	修复了目录遍历等多个漏洞
Apache Dubbo	3.1.11, 3.2.19, 或 3.3.6 及更高	官方推荐的最稳定版本
Nacos	2.5.3 或 3.2.3 及更高	2026年7月发布，包含安全依赖升级
ZooKeeper	3.8.6 或 3.9.5 及更高	修复了反向DNS欺骗可导致服务器/客户端模拟的漏洞
Consul	1.22.5, 1.21.11, 1.18.21, 或 2.0.2 及更高	修复了CVE-2026-2808等漏洞
Istio	1.30.0 或更高	修复了ISTIO-SECURITY-2026-004等安全公告中的漏洞

🧩 开发与集成

中间件/框架	建议安全版本 / 修复措施	参考依据
Jenkins	周刊: 2.551 或更高 LTS: 2.541.2 或更高	修复了存储型XSS漏洞
GitLab	18.11.7, 19.0.4, 或 19.1.2 及更高	2026年7月8日发布，修复了多个高中低危漏洞
SonarQube	2026.1 LTA 或更高	2026年长期支持版本
Apache Camel	4.14.8, 4.18.3, 或 4.21.0 及更高	修复了CVE-2026-25747等多个漏洞

📚 常用组件与库

中间件/框架	建议安全版本 / 修复措施	参考依据
Apache Log4j2	2.25.4 或更高	修复了CVE-2026-34478等多个漏洞
Fastjson	立即升级至Fastjson2	1.2.68至1.2.83版本存在无需任何条件的远程代码执行漏洞
Hibernate	5.3.38 或更高（以及最新的6.x版本）	修复了SQL注入等漏洞
Apache Struts	6.1.1 或更高	修复了CVE-2025-68493 (XXE) 等多个漏洞

🌐 前端与全栈框架

中间件/框架	建议安全版本 / 修复措施	参考依据
Next.js	15.5.21 (维护LTS) 或 16.2.11 (活跃LTS) 及更高	2026年7月修复了9个安全漏洞，包括SSRF和授权绕过
React	19.0.4, 19.1.5, 19.2.4 或更高	修复了React Server Components中的DoS和源码泄露漏洞
Angular	22.0.1, 21.2.17, 或 20.3.25 及更高	修复了CVE-2026-54266等多个XSS漏洞
Vue.js	3.5.34 或更高 (Vue 2.x已停止支持)	建议所有Vue 2.x用户迁移到Vue 3
Django	6.0.6, 5.2.14, 或 4.2.30 及更高	修复了CVE-2026-6873等多个安全问题
Laravel	12.60.0 或 13.10.0 及更高	Laravel 11已于2026年3月12日停止安全支持
Play Framework	3.0.11 或更高	修复了play-ws中的多个安全漏洞

🏢 商业与国产中间件

对于商业或国产中间件，版本信息往往不公开，最可靠的方式是联系厂商获取安全更新。

中间件/框架	建议安全版本 / 修复措施	参考依据
F5 BIG-IP	17.1.3.1 或 17.5.1.4 及更高	修复了多个安全漏洞
东方通 (TongWeb等)	联系厂商获取安全更新	官方发布多个安全公告
金蝶天燕 (Apusic)	联系厂商获取安全更新	官方发布漏洞修复公告
宝兰德 (BES)	联系厂商获取安全更新	存在远程代码执行漏洞，需通过补丁修复