Управление паролями: Жестко закодированный пароль в html

Список Fortify выводит следующую строку как уязвимую для атаки в категории — Password Management : Hard coded Password. Хотя я не жестко закодировал пароль. Почему он показывает это как уязвимость и как мне это исправить?

txtPassword.style.visibility = "visible";

Заранее спасибо!


html passwords security fortify hardcoded
person Shruthi HM    schedule 16.12.2015    source источник
comment
не могли бы вы показать нам свои усилия?   -  person Enamul Hassan    schedule 16.12.2015
comment
Я думал, что Fortify показывает это место только потому, что имя переменной содержит слово «Пароль». Я попытался переименовать «txtPassword» в «txtPwd» в html-файле, и, похоже, это работает. Fortify не показывает ошибку в этом месте. Но, я ищу лучшее разрешение здесь, если таковые имеются. Почему-то простое переименование имени переменной не убеждает меня в достаточной степени, чтобы согласиться с этим.   -  person Shruthi HM    schedule 16.12.2015

Ответы (1)


arrow_upward
6
arrow_downward

Я не вижу внутренностей, но похоже, что в составе «Анализатора структуры» инструмент Fortify ищет текст, который может указывать на наличие сохраненного пароля. Он не может определить, есть ли жестко запрограммированный пароль, но, основываясь на разговоре с консультантом HP Fortify, Fortify склонен отмечать проблему, если она вообще вызывает сомнения, позволяя лицу (лицам), исправляющим информацию аудита, определить, является ли она действительной. уязвимость или нет.

В следующем текстовом примере строка кода помечается как моя кодовая база.

  • Пароль
  • пароль
  • Пароль
  • пароль

Есть несколько способов исправить проблему, и правильный выбор для вашей организации может зависеть от трудозатрат:

  1. Отметьте отмеченную проблему как «Не проблема», указав, что это имя переменной/элемента управления и что пароль не жестко запрограммирован в коде.
  2. Переименуйте имя переменной/элемента управления так, чтобы оно не помечалось — в этом случае можно использовать txtPwd.
person Scott    schedule 16.12.2015
comment
Отличный ответ. В некоторых контекстах pwd также ищется (но не во всех) - person Douglas Held; 19.12.2015
comment
@DouglasHeld Спасибо. Я думал, что видел помеченный «pwd», но он не вытряхнул мой быстрый тест. Спасибо за информацию. Хорошо знать. - person Scott; 20.12.2015