把凭据嵌入源代码，来看看你的代码里有这样的操作吗？

关注

发布于: 2021 年 07 月 22 日

每个人都在担心自己的用户名和密码会被暴露给黑客，但为什么现在很多程序员仍然在软件中使用嵌入式凭据？嵌入式凭据，也称为硬编码密码，被写入源代码，可以让程序员在软件开发过程中的工作变得轻松一些。硬编码密码是指源代码中使用明文密码或者其它敏感信息，例如：如账号密码，SSH keys， DevOps 密码等等。它们通常存在于硬件，固件，脚本，应用程序，软件中，用于帮助开发人员快速访问产品，这确实会让编程变得方便一些，尤其是在开发阶段部署新系统的时候。

黑客喜欢嵌入式凭据，会定期从应用程序中寻找它们。近年来，随着世界各地的行业开始使用开源软件，由嵌入式凭据引起的安全问题层出不穷。2016 年著名的 Uber 数据泄露事件中导致了 5700 万客户的私人信息被泄露，这是由于 Uber 运行时环境中一部分的开源代码中使用的嵌入式凭据直接导致的。一名 Uber 员工在源代码中使用了嵌入式凭据，该代码被上传到 GitHub 后，被黑客获取并借以登陆 Uber 的 AWS 账户获取了客户信息。Uber 为这一错误付出了巨大的代价，在英国被罚款 40 万美元，在荷兰被罚款 66 万美元，而在美国被罚款超过 1.48 亿美元。这笔巨额费用仅仅是由一个已知的常见编程缺陷引起的，它本该在程序员遵守质量安全规范的要求下可以避免的。

当我们说这是一个已知的常见编程漏洞时，OWASP 和 CWE（安全领域中的权威机构）都对嵌入式凭据进行了详细描述，并提供如何避免这些漏洞的建议。

在 OWASP 的 2017 年十大漏洞中，“敏感数据泄露” [1] 排名第三。它明确指出，在过去的几年中，敏感信息的泄漏已成为一种非常常见的攻击类型，其中最常见的漏洞就是嵌入式凭据。

对于 CWE，嵌入式凭据 CWE-259 [2] 的使用在 CWE 前 25 排名中是第 19 个。两种最常见的场景如下：

软件内部：当管理员账号被嵌入代码中，产品发布后该账号将不能被修改或删除，否则会导致产品无法正常使用
软件外部：当前端包含后端所需的嵌入式凭据，该凭据可以通过前端轻易提取

让我们来看看这些代码通常是如何被嵌入凭据的。下面的示例代码是一段测试数据库连接的 Java 代码，在 16 行 DEBUG 环境下设置默认账号“admin”密码“dbtest”进行数据库连接，尽管这段代码只有在 DEBUG 环境下才生效，但默认的账号信息被嵌入到代码中，通过反编译，很容易就能识别出账号信息。

下图是 DBConnect.java 生成的类文件的反编译结果。不难看出，帐户和密码信息以纯文本形式存储在其常数表的＃10 和＃11 项中。

这错在哪里？首先，源代码中使用嵌入式凭据是非常危险的，即使源代码没有被分享，但明文密码最终会写入运行的二进制文件中，黑客和恶意软件可以轻易通过反编译工具获取密码信息。在整个系统中，为了使用方便往往使用同一套密码。鉴于此，一旦黑客破解了密码，就可以连接到所有可能造成更大破坏的相关软件和设备。其次，明文密码一旦写入了发布的软件或设备中，将不能被修改，不利于产品维护，并且破坏了经常更改凭据的黄金法则。第三，从代码编程规范的角度来看，嵌入式凭据的使用将导致代码逻辑和数据信息耦合在一起，违背了用于整合团队和集成工具的统一数据信息管理模型的原则。

作为开发人员，你应该考虑更安全的方法来管理密码以及采取策略来保证遵循这些方法。大多数具有安全意识的开发人员除了手动检查之外应该做得更多。一些自动化工具可以在实现阶段编译代码之前检测嵌入式凭据问题。鉴释的静态代码分析工具爱科识（Xcalscan）可以扫描源代码识别嵌入式凭据漏洞以及凭据未加密漏洞。下图中爱科识（Xcalscan）的扫描结果展示了漏洞产生的完整路径。