class AccessLevel{
public static final int ROOT = 0;
//...
public static final int NONE = 9;
}
//...
class User {
private static int access;
public User(){
access = AccessLevel.ROOT;
}
public static int getAccessLevel(){
return access;
}
//...
}
class RegularUser extends User {
private static int access;
public RegularUser(){
access = AccessLevel.NONE;
}
public static int getAccessLevel(){
return access;
}
public static void escalatePrivilege(){
access = AccessLevel.ROOT;
}
//...
}
//...
class SecureArea {
//...
public static void doRestrictedOperation(User user){
if (user instanceof RegularUser){
if (user.getAccessLevel() == AccessLevel.ROOT){
System.out.println("doing a privileged operation");
}else{
throw new RuntimeException();
}
}
}
}
user 實例 (而不是針對 User 或 RegularUser 類別) 呼叫 getAccessLevel() 方法，因此這將意味著，此狀況一律會傳回 true，並且會執行限制的操作，即使使用 instanceof 以進入 if/else 區塊的此部分也是如此。
private void writeObject(java.io.ObjectOutputStream out) throws IOException;
private void readObject(java.io.ObjectInputStream in) throws IOException, ClassNotFoundException;
private void readObjectNoData() throws ObjectStreamException;
serialPersistentFields，就必須將其宣告為private、static 及 final。serialPersistentFields 陣列中指定類別的可序列化欄位來手動定義這些欄位。這項功能只有在宣告 serialPersistentFields 為 private、static 以及 final 時才有效。serialPersistentFields 的宣告來定義 Serializable 欄位，因為欄位不是 private、static 以及 final。
class List implements Serializable {
public ObjectStreamField[] serialPersistentFields = { new ObjectStreamField("myField", List.class) };
...
}
Object.equals()，而不是呼叫 java.util.Arrays.equals().Object.equals() 是錯誤的，因為這將會檢查陣列的位址是否相等，而不是陣列的元素是否相等，所以通常應該由 java.util.Arrays.equals() 取而代之。 Object.equals() 函數嘗試檢查兩個陣列。
...
int[] arr1 = new int[10];
int[] arr2 = new int[10];
...
if (arr1.equals(arr2)){
//treat arrays as if identical elements
}
...
System.Object.Equals()：
public boolean Equals(string obj) {
...
}
System.Object.Equals() 需要一個 object 類型的引數，因此將永遠不會呼叫此方法。Object.equals()：
public boolean equals(Object obj1, Object obj2) {
...
}
Object.equals() 只需要一個引數，因此將永遠不會呼叫 Example 1 中的方法。getOutputStream 之後呼叫 getWriter() 或 (反之亦然) 也是錯誤的。HttpServletRequest、重新導向 HttpServletResponse 或排清 Servlet 的輸出串流緩衝區等，都會造成相關的串流交付。任何後續的緩衝區重設或串流交付時 (例如其他排清或重新導向)，將造成 IllegalStateException。ServletOutputStream 或 PrintWriter (但不是兩者同時)，將資料重新寫入回應串流。呼叫 getOutputStream() 之後呼叫 getWriter() (反之亦然) 也會造成 IllegalStateException。IllegalStateException 可防止回應處理常式執行完成，以有效撤銷回應。這樣可能會造成伺服器不穩定，而這是錯誤執行的 Servlet 徵兆。範例 2：相反地，以下程式碼嘗試在發送要求之後寫入和排清
public class RedirectServlet extends HttpServlet {
public void doGet(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException {
...
OutputStream out = res.getOutputStream();
...
// flushes, and thereby commits, the output stream
out.flush();
out.close(); // redirecting the response causes an IllegalStateException
res.sendRedirect("http://www.acme.com");
}
}
PrintWriter 的緩衝區。
public class FlushServlet extends HttpServlet {
public void doGet(HttpServletRequest req, HttpServletResponse res) throws ServletException, IOException {
...
// forwards the request, implicitly committing the stream
getServletConfig().getServletContext().getRequestDispatcher("/jsp/boom.jsp").forward(req, res);
...
// IllegalStateException; cannot redirect after forwarding
res.sendRedirect("http://www.acme.com/jsp/boomboom.jsp");
PrintWriter out = res.getWriter();
// writing to an already-committed stream will not cause an exception,
// but will not apply these changes to the final output, either
out.print("Writing here does nothing");
// IllegalStateException; cannot flush a response's buffer after forwarding the request
out.flush();
out.close();
}
}
Content-Length 表頭設為負數。Content-Length 表頭即表示開發人員想要0 或者Content-Length。
URL url = 新 URL(「http://www.example.com」)；
HttpURLConnection huc = (HttpURLConnection)url.openConnection();
huc.setRequestProperty("Content-Length", "-1000");
Content-Length 表頭設為負數。Content-Length 表頭即表示開發人員想要0 或者Content-Length 表頭錯設為負數：
xhr.setRequestHeader("Content-Length", "-1000");
java.io.Serializable 的內部類別可能導致問題並從外部類別洩漏資訊。
...
class User implements Serializable {
private int accessLevel;
class Registrator implements Serializable {
...
}
}
Example 1 中，當序列化內部類別 Registrator 時，也會從 User 外部類別序列化 accessLevel 欄位。synchronized，保證多個執行緒存取相同實例時可正確運作。也應該宣告所有的取代方法為 synchronized，否則可能會發生意外行為。Foo 類別會取代 Bar 類別，但是不會宣告 synchronizedMethod 方法為 synchronized：
public class Bar {
public synchronized void synchronizedMethod() {
for (int i=0; i<10; i++) System.out.print(i);
System.out.println();
}
}
public class Foo extends Bar {
public void synchronizedMethod() {
for (int i=0; i<10; i++) System.out.print(i);
System.out.println();
}
}
Foo 的實例轉換為 Bar 類型。若向兩個不同的執行緒提供同一實例，並重複執行 synchronizedMethod，則行為將無法預測。obj.Equals(null) 將永遠為 false。Equals() 方法將物件與 null 做比較。Equals() 方法的約定將要求此比較永遠傳回 false。obj.equals(null) 將永遠為 false。equals() 方法將物件與 null 做比較。由於該物件不是 null，因此，此比較將永遠傳回 false。(如果該物件為 null，程式會拋出 NullPointerException)。readObject() 方法所呼叫的函數可能被取代。readObject() 的作用類似建構函式，因此物件初始化會在此函數結束時才會完成。因此，當 Serializable 類別的 readObject() 函數呼叫可取代的函數時，此函數可在完全初始化物件之前，提供物件狀態的取代方法存取權。readObject() 函數所呼叫的方法可被取代。
...
private void readObject(final ObjectInputStream ois) throws IOException, ClassNotFoundException {
checkStream(ois);
ois.defaultReadObject();
}
public void checkStream(ObjectInputStream stream){
...
}
checkStream() 函數及其封裝類別不是 final 和公用的，這表示它們可以被取代，這可能意味著攻擊者可以取代 checkStream() 函數，以便在還原序列化期間取得對物件的存取權。
Marker child = MarkerManager.getMarker("child");
Marker parent = MarkerManager.getMarker("parent");
child.addParents(parent);
parent.addParents(child);
String toInfinity = child.toString();
toString() 包括遞迴處理方法時，就會觸發堆疊溢位異常 (堆疊耗盡)。此異常起因於子項與父項之間的循環連結。String 物件並不可靠，所以不應該這樣做。String 物件，通常必須先透過 Double.toString() 之類的函數將浮點值變更為 String 物件。根據浮點變數的類型和值，在轉換為 String 物件時，它可能是「NaN」、「Infinity」、「-Infinity」，有特定含零的行尾小數位數，或是可能包含指數欄位。如果轉換為十六進位字串，表示法也會大為不同。String。
...
int initialNum = 1;
...
String resultString = Double.valueOf(initialNum/10000.0).toString();
if (s.equals("0.0001")){
//do something
...
}
...
ToString() 在陣列上受到呼叫。ToString() 表示開發人員有意將陣列內容做為字串回傳。不過，在陣列上直接呼叫 ToString()，將會回傳包含陣列類型的字串值。System.String[]。
String[] stringArray = { "element 1", "element 2", "element 3", "element 4" };
System.Diagnostics.Debug.WriteLine(stringArray.ToString());
toString() 在陣列上受到呼叫。toString() 表示開發人員有意將陣列內容做為字串回傳。不過，在陣列上直接呼叫 toString()，將會回傳記憶體中包含陣列類型和雜湊碼的字串值。[Ljava.lang.String;@1232121。
String[] strList = new String[5];
...
System.out.println(strList);
APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。
...
CALL FUNCTION 'REGISTRY_GET'
EXPORTING
KEY = 'APPHOME'
IMPORTING
VALUE = home.
CONCATENATE home INITCMD INTO cmd.
CALL 'SYSTEM' ID 'COMMAND' FIELD cmd ID 'TAB' FIELD TABL[].
...
Example 1 中的程式碼允許攻擊者藉由修改登錄金鑰 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從登錄中讀取的值，所以如果攻擊者可以控制登錄金鑰 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
btype = request->get_form_field( 'backuptype' )
CONCATENATE `/K 'c:\\util\\rmanDB.bat ` btype `&&c:\\util\\cleanup.bat'` INTO cmd.
CALL FUNCTION 'SXPG_COMMAND_EXECUTE_LONG'
EXPORTING
commandname = cmd_exe
long_params = cmd_string
EXCEPTIONS
no_permission = 1
command_not_found = 2
parameters_too_long = 3
security_risk = 4
OTHERS = 5.
...
backuptype參數進行任何驗證。通常 SXPG_COMMAND_EXECUTE_LONG 函數模組不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 CALL 'SYSTEM' 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
MOVE 'make' to cmd.
CALL 'SYSTEM' ID 'COMMAND' FIELD cmd ID 'TAB' FIELD TABL[].
...
CALL 'SYSTEM' 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。
...
var fs:FileStream = new FileStream();
fs.open(new File(String(configStream.readObject())+".txt"), FileMode.READ);
home = String(fs.readObject(home));
var cmd:String = home + INITCMD;
fscommand("exec", cmd);
...
Example 1 中的程式碼允許攻擊者藉由修改組態設定檔案 configStream 的內容來指向包含惡意版本的 INITCMD 的其他路徑，藉此運用提升的應用程式權限來執行任意指令。因為程式不會驗證從檔案中讀取的值，所以如果攻擊者可以控制該值，他們就可以欺騙應用程式去執行惡意程式碼並控制系統。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
var params:Object = LoaderInfo(this.root.loaderInfo).parameters;
var btype:String = String(params["backuptype"]);
var cmd:String = "cmd.exe /K \"c:\\util\\rmanDB.bat " + btype + "&&c:\\util\\cleanup.bat\"";
fscommand("exec", cmd);
...
backuptype參數進行任何驗證。通常 fscommand() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 fscommnd() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
fscommand("exec", "make");
...
fscommand() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。APPHOME 來決定其安裝目錄，並且根據指定目錄的相對路徑來執行初始化 Script。
...
string val = Environment.GetEnvironmentVariable("APPHOME");
string cmd = val + INITCMD;
ProcessStartInfo startInfo = new ProcessStartInfo(cmd);
Process.Start(startInfo);
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
string btype = BackupTypeField.Text;
string cmd = "cmd.exe /K \"c:\\util\\rmanDB.bat"
+ btype + "&&c:\\util\\cleanup.bat\""));
Process.Start(cmd);
...
BackupTypeField進行任何驗證。通常 Process.Start() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Process.Start() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。update.exe 指令，如下所示：
...
Process.Start("update.exe");
...
Process.start() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 update.exe 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 update.exe 將會在這些權限下執行，攻擊者可能會完全控制系統。setuid root 安裝的，因為這個程式的意圖是作為一個學習工具來使用，以便讓那些仍在培訓中的系統管理員查看各權限的系統檔，而不給他們篡改權限，或者損壞系統的能力。
int main(char* argc, char** argv) {
char cmd[CMD_MAX] = "/usr/bin/cat ";
strcat(cmd, argv[1]);
system(cmd);
}
root 的權限來執行，所以 system() 的呼叫也以 root 的權限來執行。如果使用者指定了一個標準的檔案名稱，那麼呼叫就能如預期般執行。但是，如果攻擊者傳遞 ";rm -rf /" 形式的字串，則對 system() 的呼叫會由於缺少引數而無法執行 cat，然後以遞迴方式刪除根分割的內容。$APPHOME 來決定應用程式的安裝目錄，並在該目錄中執行初始化指令碼。
...
char* home=getenv("APPHOME");
char* cmd=(char*)malloc(strlen(home)+strlen(INITCMD));
if (cmd) {
strcpy(cmd,home);
strcat(cmd,INITCMD);
execl(cmd, NULL);
}
...
Example 1 所述，這個範例中的程式碼提升了應用程式的權限，允許攻擊者隨意執行任何指令。在此範例中，攻擊者可能修改環境變數 $APPHOME 來指定包含 INITCMD 惡意版本的不同路徑。由於程式不會驗證從環境讀取的值，透過控制該環境變數，攻擊者可能欺騙應用程式執行惡意程式碼。/var/yp 目錄中執行 make。注意，程式更新密碼記錄後，就已按照 setuid root 進行安裝了。make：
system("cd /var/yp && make &> /dev/null");
system() 的引數。但是，由於程式沒有指定 make 的絕對路徑，而且沒有在叫用指令之前清除任何環境變數，因此攻擊者可能修改他們的 $PATH 變數，以指向名為 make 的惡意二進位碼，並從 shell 提示執行 CGI 指令碼。而且因為程式是按照 setuid root 安裝的，所以攻擊者的 make 版本現在會以 root 權限執行。_spawn() 系列中的一個函數來叫用 CreateProcess() 時，如果執行檔或路徑中包含空格，請務必小心。
...
LPTSTR cmdLine = _tcsdup(TEXT("C:\\Program Files\\MyApplication -L -S"));
CreateProcess(NULL, cmdLine, ...);
...
CreateProcess() 剖析空格的方式，作業系統嘗試執行的第一個執行檔會是 Program.exe，而不是 MyApplication.exe。所以，如果攻擊者能夠在系統上安裝名為 Program.exe 的惡意應用程式，任何會使用 Program Files 目錄不正確呼叫 CreateProcess() 的程式將會執行此應用程式，而不會執行原本所要執行的應用程式。system()、exec() 和 CreateProcess() 這類的函數，可利用程式呼叫這些函數的環境，因此攻擊者會有機會去影響這些呼叫的運作情況。$PATH 或程式執行環境的其他層面，使用程式來執行惡意二進位檔案。/var/yp 目錄中執行 make。注意，程式更新密碼記錄後，就已按照 setuid root 進行安裝了。make：
MOVE "cd /var/yp && make &> /dev/null" to command-line
CALL "CBL_EXEC_RUN_UNIT" USING command-line
length of command-line
run-unit-id
stack-size
flags
CBL_EXEC_RUN_UNIT 的引數。但是，由於程式沒有為 make 指定絕對路徑，並且在叫用該指令之前未清除其環境變數，因此攻擊者可將 $PATH 變數修改為指向名為 make 的惡意二進位檔案，並透過 Shell 提示執行 CGI 指令碼。另外，由於程式已按照 setuid root 進行安裝，因此攻擊者的 make 版本現在能利用 root 權限來執行。pdfprint 指令列印的檔案。
DISPLAY "TEMP" UPON ENVIRONMENT-NAME
ACCEPT ws-temp-dir FROM ENVIRONMENT-VARIABLE
STRING "pdfprint " DELIMITED SIZE
ws-temp-dir DELIMITED SPACE
"/" DELIMITED SIZE
ws-pdf-filename DELIMITED SPACE
x"00" DELIMITED SIZE
INTO cmd-buffer
CALL "SYSTEM" USING cmd-buffer
pdfprint 指定絕對路徑，因此攻擊者可將 $PATH 變數修改為指向惡意二進位檔案。此外，儘管 DELIMITED SPACE 片語會防止 ws-temp-dir 和 ws-pdf-filename 中嵌入空格，但其中的任何一個都可以嵌入 shell 中繼字元 (例如 &&)。cmd 要求參數指定任意指令。
...
<cfset var="#url.cmd#">
<cfexecute name = "C:\windows\System32\cmd.exe"
arguments = "/c #var#"
timeout = "1"
variable="mycmd">
</cfexecute>
...
APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。
...
final cmd = String.fromEnvironment('APPHOME');
await Process.run(cmd);
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。
cmdName := request.FormValue("Command")
c := exec.Command(cmdName)
c.Run()
APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。
...
String home = System.getProperty("APPHOME");
String cmd = home + INITCMD;
java.lang.Runtime.getRuntime().exec(cmd);
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
String btype = request.getParameter("backuptype");
String cmd = new String("cmd.exe /K
\"c:\\util\\rmanDB.bat "+btype+"&&c:\\util\\cleanup.bat\"")
System.Runtime.getRuntime().exec(cmd);
...
backuptype參數進行任何驗證。通常 Runtime.exec() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Runtime.exec() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
System.Runtime.getRuntime().exec("make");
...
Runtime.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。
...
String[] cmds = this.getIntent().getStringArrayExtra("commands");
Process p = Runtime.getRuntime().exec("su");
DataOutputStream os = new DataOutputStream(p.getOutputStream());
for (String cmd : cmds) {
os.writeBytes(cmd+"\n");
}
os.writeBytes("exit\n");
os.flush();
...
APPHOME 來決定其安裝目錄，並且根據指定目錄的相對路徑來執行初始化 Script。
var cp = require('child_process');
...
var home = process.env('APPHOME');
var cmd = home + INITCMD;
child = cp.exec(cmd, function(error, stdout, stderr){
...
});
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
var cp = require('child_process');
var http = require('http');
var url = require('url');
function listener(request, response){
var btype = url.parse(request.url, true)['query']['backuptype'];
if (btype !== undefined){
cmd = "c:\\util\\rmanDB.bat" + btype;
cp.exec(cmd, function(error, stdout, stderr){
...
});
}
...
}
...
http.createServer(listener).listen(8080);
backuptype參數進行任何驗證，只有驗證此參數是否存在。一旦叫用此 Shell，就可能允許執行多個指令，並且因為應用程式本質的關係，應用程式將會使用與資料庫互動的必要權限來執行，這表示攻擊者插入的所有指令也會使用這些權限來執行。/var/yp 目錄下執行 make 指令。
...
require('child_process').exec("make", function(error, stdout, stderr){
...
});
...
make 的絕對路徑，因此沒能在執行 child_process.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。
...
$home = $_ENV['APPHOME'];
$cmd = $home . $INITCMD;
system(cmd);
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
$btype = $_GET['backuptype'];
$cmd = "cmd.exe /K \"c:\\util\\rmanDB.bat " . $btype . "&&c:\\util\\cleanup.bat\"";
system(cmd);
...
backuptype參數進行任何驗證。通常 Runtime.exec() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Runtime.exec() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
$result = shell_exec("make");
...
Runtime.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。
...
CREATE PROCEDURE dbo.listFiles (@path NVARCHAR(200))
AS
DECLARE @cmd NVARCHAR(500)
SET @cmd = 'dir ' + @path
exec xp_cmdshell @cmd
GO
...
APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。
...
home = os.getenv('APPHOME')
cmd = home.join(INITCMD)
os.system(cmd);
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
btype = req.field('backuptype')
cmd = "cmd.exe /K \"c:\\util\\rmanDB.bat " + btype + "&&c:\\util\\cleanup.bat\""
os.system(cmd);
...
backuptype參數進行任何驗證。通常 Runtime.exec() 函數不會執行多重指令，但在此例中，程式首先執行 cmd.exe shell，以在單一呼叫 Runtime.exec() 時執行多重指令。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
result = os.system("make");
...
os.system() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。APPHOME 來決定目錄的安裝位置，並且根據指定目錄的相對路徑來執行初始化 Script。
...
home = ENV['APPHOME']
cmd = home + INITCMD
Process.spawn(cmd)
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
btype = req['backuptype']
cmd = "C:\\util\\rmanDB.bat #{btype} &&C:\\util\\cleanup.bat"
spawn(cmd)
...
backuptype參數進行任何驗證。一旦透過 Kernel.spawn 叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
system("make")
...
Kernel.system() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。
def changePassword(username: String, password: String) = Action { request =>
...
s'echo "${password}" | passwd ${username} --stdin'.!
...
}
APPHOME 來決定其安裝目錄，並且根據指定目錄的相對路徑來執行初始化 Script。
...
Dim cmd
Dim home
home = Environ$("AppHome")
cmd = home & initCmd
Shell cmd, vbNormalFocus
...
Example 1 中的程式碼允許攻擊者藉由修改系統屬性 APPHOME，來指向包含惡意版本的 INITCMD 的其他路徑，運用提升的應用程式權限來執行任意指令。因為程式不會驗證從環境中讀取的值，所以如果攻擊者可以控制系統屬性 APPHOME 的值，那麼他們就可以欺騙應用程式去執行惡意程式碼並取得對系統的控制。rman 公用程式周圍的批次檔包裝函式來開始 Oracle 資料庫備份，並接著執行 cleanup.bat Script 來刪除一些暫存檔案。Script rmanDB.bat 會接受單一指令行參數，其中指定了要執行的備份類型。因為存取資料庫是受限制的，所以應用程式需具有較高權限的使用者來執行備份。
...
btype = Request.Form("backuptype")
cmd = "cmd.exe /K " & Chr(34) & "c:\util\rmanDB.bat " & btype & "&&c:\util\cleanup.bat" & Chr(34) & ";
Shell cmd, vbNormalFocus
...
backuptype參數進行任何驗證。一旦叫用 Shell，Shell 就會允許執行多個由兩個 & 分隔的指令。如果攻擊者傳遞一個 "&& del c:\\dbms\\*.*" 形式的字串，那麼應用程式將會執行這個指令以及由此程式指定的其他指令。因為此應用程式本質的關係，所以應用程式必須要有權限才可與資料庫互動，這表示攻擊者插入的所有指令也都會使用這些權限進行運作。/var/yp 目錄下執行 make 指令。
...
$result = shell_exec("make");
...
Runtime.exec() 呼叫前清除它的環境變數。如果攻擊者能夠修改 $PATH 變數，指向名為 make 的惡意二進位碼，並使得程式在它們的環境中執行，那麼程式會載入此惡意的二進位碼，代替原來的程式碼。由於應用程式的特性，它需要特定的權限才能執行系統作業，這表示攻擊者的 make 將會在這些權限下執行，攻擊者可能會完全控制系統。content://my.authority/messagescontent://my.authority/messages/123content://my.authority/messages/deleteddeleted 的 msgId 程式碼來呼叫 content://my.authority/messages/deleted：
// "msgId" is submitted by users
Uri dataUri = Uri.parse(WeatherContentProvider.CONTENT_URI + "/" + msgId);
Cursor wCursor1 = getContentResolver().query(dataUri, null, null, null, null);
isSecure 參數未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie 易使 Cookie 受到網路攔截攻擊，因此安全旗標有助於保持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。isSecure 參數設為 true。
...
Cookie cookie = new Cookie('emailCookie', emailCookie, path, maxAge, false, 'Strict');
...
isSecure 參數，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量對攻擊者而言是稀鬆平常之事，而且透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會危及應用程式的安全。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 屬性。
...
HttpCookie cookie = new HttpCookie("emailCookie", email);
Response.AppendCookie(cookie);
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。Secure 旗標設為 trueSecure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。如果 Cookie 包含隱私資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。Secure 旗標。
cookie := http.Cookie{
Name: "emailCookie",
Value: email,
}
http.SetCookie(response, &cookie)
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。use-secure-cookie 屬性允許透過未加密的傳輸傳送 remember-me Cookie。
<http auto-config="true">
...
<remember-me use-secure-cookie="false"/>
</http>
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 屬性設定為 true。
res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin', httpOnly: true, secure: false});
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。NSHTTPCookieSecure 旗標未設為 TRUE。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
...
NSDictionary *cookieProperties = [NSDictionary dictionary];
...
NSHTTPCookie *cookie = [NSHTTPCookie cookieWithProperties:cookieProperties];
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 cookie (尤其是含階段作業 ID 的 cookie) 可能會造成應用程式資料外洩。Secure 旗標設為 trueSecure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。若 cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
...
setcookie("emailCookie", $email, 0, "/", "www.example.com");
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。Secure 旗標設為 TrueSecure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 cookie。透過未加密的通道傳送 cookie，易使 cookie 受到網路攔截攻擊，因此安全旗標可維持 cookie 值的機密性。如果 Cookie 包含私人資料或階段作業識別碼，或附帶 CSRF 權杖，這將更為重要。Secure 旗標。
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("emailCookie", email)
return res
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。隨後攻擊者可能會攔截未加密的網路流量，進而危及 Cookie，這在無線網路會更加容易。Secure 旗標未設為 true。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, secure = false))
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。NSHTTPCookieSecure 旗標未設為 TRUE。Secure 旗標。若已設定旗標，則瀏覽器僅會透過 HTTPS 傳送 Cookie。透過未加密的通道傳送 Cookie，易使 Cookie 受到網路攔截攻擊，因此安全旗標可維持 Cookie 值的機密性。若 Cookie 包含隱私資料或附帶階段作業識別碼，這將更為重要。Secure 旗標。
...
let properties = [
NSHTTPCookieDomain: "www.example.com",
NSHTTPCookiePath: "/service",
NSHTTPCookieName: "foo",
NSHTTPCookieValue: "bar"
]
let cookie : NSHTTPCookie? = NSHTTPCookie(properties:properties)
...
Secure 旗標，則在後續的 HTTP 要求期間，也會傳送在 HTTPS 要求時所傳送的 Cookie。透過未加密的無線連線攔截網路流量，對攻擊者而言是稀鬆平常之事，所以透過 HTTP 傳送 Cookie (尤其是含階段作業 ID 的 Cookie) 可能會造成應用程式資料外洩。HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
HttpCookie cookie = new HttpCookie("emailCookie", email);
Response.AppendCookie(cookie);
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
cookie := http.Cookie{
Name: "emailCookie",
Value: email,
}
...
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
javax.servlet.http.Cookie cookie = new javax.servlet.http.Cookie("emailCookie", email);
// Missing a call to: cookie.setHttpOnly(true);
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。httpOnly 屬性。
res.cookie('important_cookie', info, {domain: 'secure.example.com', path: '/admin'});
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
setcookie("emailCookie", $email, 0, "/", "www.example.com", TRUE); //Missing 7th parameter to set HttpOnly
HttpOnly 旗標設為 True。HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
from django.http.response import HttpResponse
...
def view_method(request):
res = HttpResponse()
res.set_cookie("emailCookie", email)
return res
...
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
Ok(Html(command)).withCookies(Cookie("sessionID", sessionID, httpOnly = false))
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 旗標設為 true。
server.servlet.session.cookie.http-only=false
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-Site Scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證權杖。如果未啟用 HttpOnly 旗標，則攻擊者將更容易存取使用者 Cookie。HttpOnly 旗標設為 true。
session_set_cookie_params(0, "/", "www.example.com", true, false);
HttpOnly 旗標設為 true。HttpOnly Cookie 屬性。Cross-site scripting 攻擊通常會存取 Cookie，嘗試竊取階段作業識別碼或驗證標記。如果未啟用 HttpOnly，則攻擊者將更容易存取使用者 Cookie。HttpOnly 屬性。
...
MIDDLEWARE = (
'django.middleware.csrf.CsrfViewMiddleware',
'django.contrib.sessions.middleware.SessionMiddleware',
'django.middleware.common.CommonMiddleware',
'django.contrib.auth.middleware.AuthenticationMiddleware',
'django.contrib.messages.middleware.MessageMiddleware',
'csp.middleware.CSPMiddleware',
'django.middleware.security.SecurityMiddleware',
...
)
...
SESSION_COOKIE_HTTPONLY = False
...