html - 密码管理 : Hard coded password in html

Question

Fortify 将以下行列为易受攻击类别下的输出 - Password Management : Hard coded Password。虽然我没有硬编码密码。为什么它显示为一个漏洞，我该如何修复它？

txtPassword.style.visibility = "visible";

提前致谢!

Answer 1

我看不到内部结构，但似乎作为“结构分析器”的一部分，Fortify 工具会搜索可能表明已存储密码的文本。它无法判断是否有硬编码的密码，但是，根据与 HP Fortify 顾问的对话，Fortify 倾向于在有疑问时标记问题，允许修复审计信息的人员确定问题是否存在是否存在漏洞。

以下文本示例触发一行代码被标记为我的代码库。

• 密码
• 密码
• 密码
• 密码

有多种方法可以补救此问题，适合您的组织的正确方法可能取决于工作量:

1. 将标记的问题标记为“不是问题”，表明这是一个变量/控件名称，并且代码中没有硬编码密码。
2. 将变量/控件名称重命名为不会被标记的名称 - txtPwd 在这种情况下可能是一个选项。