为了加强这一点,什么是验证整数?

我使用的是C#/,强化静态代码分析器。NET项目。我从用户输入中获取一个整型参数,一年,然后开始一个过程:

        int y = int.Parse(Year.SelectedValue); //Year is a DropDownList
        if (y >= 2017 && y <= DateTime.Today.Year)
            Process.Start(new ProcessStartInfo(Server.MapPath("~/bin/SomeProgram.exe"), "/x:" + y.ToString()));

Fortify不喜欢这样,抛出了一个“命令注入”问题:

1. 数据从不受信任的来源进入应用程序。

在这种情况下,数据在ccc中的get_SelectedValue()处输入。aspx。政务司司长 第25行。即使本例中的数据是一个数字,它也是一个数字 未经验证,因此仍被认为是恶意的,因此 仍然报告了漏洞,但优先级值降低。

2. 数据用作或作为代表应用程序执行的命令的字符串的一部分。

在本例中,该命令由中的ProcessStartInfo()执行 ccc。aspx。cs在28号线。

从字面上看,有两种可能的输入值会导致流程开始(截至本文撰写之时)——2017年和2018年。如果If()语句不算作Fortify的验证,那么应该怎么做?

编辑:最重要的是,除非你明确选择ASP。NET的ViewState完整性检查, DropDownList 不允许指定范围之外的值。考虑到这一点,我不明白为什么 SelectedValue 一个 下拉框 首先被视为不受信任的来源。