安全编码指南是如何演变的
上周我正在研究 Java Spring 中的漏洞，以更新我们的安全编码指南。我正在研究我们平台上现有的挑战，并通过在JSP页面中显示网址参数在XSS上发现了一些挑战。不正确的代码示例看起来与以下内容类似：
<input type="text" name="username" value="${param.username}">
正确的解决方案是完全删除 URL 参数，描述中提到，以正确的方式转义 URL 参数也是安全的。
现在，我的工作是以开发人员清楚的方式制定安全编码指南，并在编写安全代码的同时尽可能减少对他们的限制。在这种情况下，我更愿意让开发人员保留其预期功能，并建议他们通过转义 URL 参数来安全地执行此操作。这样，代码就不再包含 XSS 漏洞了。上面的例子可以这样保护：
<input type="text" name="username" value="${fn:escapeXml(param.username)}">
这是我们几天来的安全编码指南，直到我偶然发现了一个 关于表达式语言注入的 OWASP 页面。本页介绍如何滥用 Spring 表达式语言 (SpEL) 进行注入，从而产生一些严重影响，包括远程代码执行。我有责任弄清楚是否存在符合我们安全编码指南的代码仍然会受到此漏洞影响的情况。因此，我编写了一个快速测试应用程序来评估 SpEL 表达式，并测试了使用和不使用 Xml 转义的输入，看看能否找到一些无法捕捉到的场景。我做到了，有些恶意表达式不包含 XmleScape 捕获的任何字符。我在我们的 github 上发布了工作演示，你可以找到 这里。
当然，我更新了我们的安全编码指南，现在内容是：“不要使用 Spring 表达语言 (SpEL) 显示或评估 URL 参数。”
此问题的总体影响很大，原因如下：-攻击者可以修改和调用应用程序服务器上的功能。-未经授权访问数据和功能，以及账户劫持和远程执行代码。-成功攻击带来的机密性和完整性问题。
https://www.owasp.org/index.php/Expression_Language_Injection
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
上周我正在研究 Java Spring 中的漏洞，以更新我们的安全编码指南。我正在研究我们平台上现有的挑战，并通过在JSP页面中显示网址参数在XSS上发现了一些挑战。不正确的代码示例看起来与以下内容类似：
<input type="text" name="username" value="${param.username}">
正确的解决方案是完全删除 URL 参数，描述中提到，以正确的方式转义 URL 参数也是安全的。
现在，我的工作是以开发人员清楚的方式制定安全编码指南，并在编写安全代码的同时尽可能减少对他们的限制。在这种情况下，我更愿意让开发人员保留其预期功能，并建议他们通过转义 URL 参数来安全地执行此操作。这样，代码就不再包含 XSS 漏洞了。上面的例子可以这样保护：
<input type="text" name="username" value="${fn:escapeXml(param.username)}">
这是我们几天来的安全编码指南，直到我偶然发现了一个 关于表达式语言注入的 OWASP 页面。本页介绍如何滥用 Spring 表达式语言 (SpEL) 进行注入，从而产生一些严重影响，包括远程代码执行。我有责任弄清楚是否存在符合我们安全编码指南的代码仍然会受到此漏洞影响的情况。因此，我编写了一个快速测试应用程序来评估 SpEL 表达式，并测试了使用和不使用 Xml 转义的输入，看看能否找到一些无法捕捉到的场景。我做到了，有些恶意表达式不包含 XmleScape 捕获的任何字符。我在我们的 github 上发布了工作演示，你可以找到 这里。
当然，我更新了我们的安全编码指南，现在内容是：“不要使用 Spring 表达语言 (SpEL) 显示或评估 URL 参数。”
此问题的总体影响很大，原因如下：-攻击者可以修改和调用应用程序服务器上的功能。-未经授权访问数据和功能，以及账户劫持和远程执行代码。-成功攻击带来的机密性和完整性问题。
https://www.owasp.org/index.php/Expression_Language_Injection
上周我正在研究 Java Spring 中的漏洞，以更新我们的安全编码指南。我正在研究我们平台上现有的挑战，并通过在JSP页面中显示网址参数在XSS上发现了一些挑战。不正确的代码示例看起来与以下内容类似：
<input type="text" name="username" value="${param.username}">
正确的解决方案是完全删除 URL 参数，描述中提到，以正确的方式转义 URL 参数也是安全的。
现在，我的工作是以开发人员清楚的方式制定安全编码指南，并在编写安全代码的同时尽可能减少对他们的限制。在这种情况下，我更愿意让开发人员保留其预期功能，并建议他们通过转义 URL 参数来安全地执行此操作。这样，代码就不再包含 XSS 漏洞了。上面的例子可以这样保护：
<input type="text" name="username" value="${fn:escapeXml(param.username)}">
这是我们几天来的安全编码指南，直到我偶然发现了一个 关于表达式语言注入的 OWASP 页面。本页介绍如何滥用 Spring 表达式语言 (SpEL) 进行注入，从而产生一些严重影响，包括远程代码执行。我有责任弄清楚是否存在符合我们安全编码指南的代码仍然会受到此漏洞影响的情况。因此，我编写了一个快速测试应用程序来评估 SpEL 表达式，并测试了使用和不使用 Xml 转义的输入，看看能否找到一些无法捕捉到的场景。我做到了，有些恶意表达式不包含 XmleScape 捕获的任何字符。我在我们的 github 上发布了工作演示，你可以找到 这里。
当然，我更新了我们的安全编码指南，现在内容是：“不要使用 Spring 表达语言 (SpEL) 显示或评估 URL 参数。”
此问题的总体影响很大，原因如下：-攻击者可以修改和调用应用程序服务器上的功能。-未经授权访问数据和功能，以及账户劫持和远程执行代码。-成功攻击带来的机密性和完整性问题。
https://www.owasp.org/index.php/Expression_Language_Injection
Klicken Sie auf den folgenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Bericht anzeigenDemo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
上周我正在研究 Java Spring 中的漏洞，以更新我们的安全编码指南。我正在研究我们平台上现有的挑战，并通过在JSP页面中显示网址参数在XSS上发现了一些挑战。不正确的代码示例看起来与以下内容类似：
<input type="text" name="username" value="${param.username}">
正确的解决方案是完全删除 URL 参数，描述中提到，以正确的方式转义 URL 参数也是安全的。
现在，我的工作是以开发人员清楚的方式制定安全编码指南，并在编写安全代码的同时尽可能减少对他们的限制。在这种情况下，我更愿意让开发人员保留其预期功能，并建议他们通过转义 URL 参数来安全地执行此操作。这样，代码就不再包含 XSS 漏洞了。上面的例子可以这样保护：
<input type="text" name="username" value="${fn:escapeXml(param.username)}">
这是我们几天来的安全编码指南，直到我偶然发现了一个 关于表达式语言注入的 OWASP 页面。本页介绍如何滥用 Spring 表达式语言 (SpEL) 进行注入，从而产生一些严重影响，包括远程代码执行。我有责任弄清楚是否存在符合我们安全编码指南的代码仍然会受到此漏洞影响的情况。因此，我编写了一个快速测试应用程序来评估 SpEL 表达式，并测试了使用和不使用 Xml 转义的输入，看看能否找到一些无法捕捉到的场景。我做到了，有些恶意表达式不包含 XmleScape 捕获的任何字符。我在我们的 github 上发布了工作演示，你可以找到 这里。
当然，我更新了我们的安全编码指南，现在内容是：“不要使用 Spring 表达语言 (SpEL) 显示或评估 URL 参数。”
此问题的总体影响很大，原因如下：-攻击者可以修改和调用应用程序服务器上的功能。-未经授权访问数据和功能，以及账户劫持和远程执行代码。-成功攻击带来的机密性和完整性问题。
https://www.owasp.org/index.php/Expression_Language_Injection
Verzeichnis
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior kann Ihrem Unternehmen dabei helfen, Code während des gesamten Softwareentwicklungszyklus zu schützen und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, Chief Information Security Officer oder in einem anderen sicherheitsrelevanten Bereich tätig sind – wir können Ihrem Unternehmen dabei helfen, die mit unsicherem Code verbundenen Risiken zu minimieren.
Demo buchen下载Ressourcen, die Ihnen den Einstieg erleichtern
Themen und Inhalte der Sicherheitsschulung
Unsere branchenführenden Inhalte werden ständig weiterentwickelt, um sich an die sich wandelnde Softwareentwicklungslandschaft anzupassen und gleichzeitig Ihre Rolle zu berücksichtigen. Die Themen reichen von KI bis hin zu XQuery-Injection und sind für verschiedene Positionen geeignet, von Architekten und Ingenieuren bis hin zu Produktmanagern und QA-Mitarbeitern. Verschaffen Sie sich einen ersten Überblick nach Themen und Rollen und erfahren Sie, was unser Inhaltsverzeichnis zu bieten hat.
Die Kamer van Koophandel setzt Maßstäbe für entwicklergesteuerte Sicherheit in großem Maßstab
Die Kamer van Koophandel berichtet, wie sie sicheres Codieren durch rollenbasierte Zertifizierungen, Trust Score-Benchmarking und eine Kultur der gemeinsamen Verantwortung für Sicherheit in die tägliche Entwicklungsarbeit integriert hat.
%20(1).avif)
.avif)
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
Ressourcen, die Ihnen den Einstieg erleichtern
Cybermon ist zurück: Die KI-Mission zum Besiegen des Bosses ist jetzt auf Abruf verfügbar.
Cybermon 2025: Der Kampf gegen den Boss hat nun in SCW ganzjährig begonnen. Der Kampf um die Sicherheit von KI/LLM auf Stammesebene, die Entwicklung von Sicherheits-KI wird durch groß angelegte Modelle verstärkt.
Auslegung des Gesetzes zur Netzresilienz: Was bedeutet es, durch die Entwicklung von Design-Software Sicherheit zu erreichen?
Verstehen Sie die Anforderungen des EU-Gesetzes zur Netzresilienz (CRA), für wen es gilt und wie sich Ingenieurteams durch Designpraktiken, Schwachstellenprävention und Kompetenzaufbau für Entwickler darauf vorbereiten können.
Treibende Faktoren 1: Klare und messbare Erfolgskriterien
Enabler 1 ist der Auftakt zu unserer 10-teiligen Reihe über Erfolgsfaktoren. Er zeigt, wie sichere Codierung mit Geschäftsergebnissen wie Risikominderung und schnellerer Reifung langfristiger Pläne in Verbindung gebracht werden kann.
