問題種類：Log Forging
問題說明：
Log中存入由不可信任來源傳入之字串，導致 Log 之正確性存在有風險。
建議處理：
在記錄 Log 時，儘可能使用由伺服器所控制的值，而非使用者所提供的資料，若要使用使用者所提供的資料，至少要過濾 \n 與 \r這些符號 (但即使過濾了，仍有風險存在也會被認列弱點)。
可用已知 Library 進行斷行與特殊字元過濾
例如：
import org.apache.commons.lang3.StringEscapeUtils;
String escapedToken = input.replace("\n", "").replace("\r", ""); //必要過濾條件
escapedToken = StringEscapeUtils.escapeJava(escapedToken); //次要過濾條件
2016-05-30
2016-05-25
原創小說小心得
★★★☆ 陛下請淡定 / 陛下請自重 by 酒小七 女扮男裝歡樂輕鬆小肉文，看書重點在男主陷入斷袖不斷袖的煎熬，男主角基本上是個神經病加變態，女主角前面時傻時聰明還蠻可愛的，配角們也是很歡樂很討喜。結局的身世梗跟收尾有點狗血跟隨便，感覺很多東西沒交代啊!!! 女主的弟弟聽說出現在另一本書「調笑令」裡面，聽說是沒死但不能說話，加入待看清單。總之是本輕鬆歡樂不算太長的文章，想放空的時候看正好!
★★★ 國色芳華 by 意千重 有點兒長，有點兒拖戲，雖然作者想再寫個200章應該也不是問題。討人厭的腳色有點兒多，雖然最後也都得到了淒涼的下場，但看的時候就覺得很惱人，虐渣南前夫的部分感覺是往搞笑的路線去虐的，看到後來覺得他又囧又好笑。男主角走的是平穩路線，感覺起來不特別厲害，但他要做什麼事又都能處理得很好，大概是主角威能吧，跟女主角之間的戲份也很甜，女主雖然是穿來的，但沒開什麼穿越的金手指，頂多就是種花的技術比較好罷了，但種花的部分其實也沒有描寫很多有點可惜。女主家的大家庭親情故事寫的還不錯，男主家的爛帳也處理得還不錯，就是有些人的下落沒交代清楚，有點殘念，然後覺得番外不夠阿不夠。
★★★☆ 定天下 by 紫筱戀喜 美女扮醜男裝文，還不錯，算是本真言情小說，雖然故事內容是謀略定天下，但是戰爭權謀佔了很小一部分，大部分還是主角在談情說愛。男主角很討喜，什麼事都知道什麼都不奇怪，很腹黑很妖孽很可愛，雖然人前人後差別大的有種人格分裂的感覺，但完全是我的心頭好。女主角就有點討人厭，從男主到男配1234都要招惹，感覺他每個都愛，隨便哪個都可以讓他心跳加快、透不過氣、心頭難受之類的，每個都給了希望讓人上鉤，但他明明愛的是男主啊! 然後男主又太強大了，男配們整個超可憐，總之女主常常讓人看到猛翻白眼。女主在愛人與被愛之間猶豫不決那邊也讓人看得很焦慮，雖然覺得他可能只是因為童年遭遇的關係很需要被愛很沒安全感，但是還是覺得很受不了，深深為男主男二掬一把眼淚。這文前半段寫得有點太過文言文，看得好辛苦，一直撐到五十章左右才好一點，但是前面進展又有點慢，男主根本看不出半點有喜歡女主的感覺，大概到了一百章出頭才讓人有認真想看下去的感覺，為了想看妖孽腹黑男x女扮男裝主題而看，妖孽腹黑男部分不錯，女扮男裝部分也還OK，雖然結局跟番外都有點草率，但還算可接受。
★★★ 此心無垠 by 無非由 還OK，女主有點煩，一直都喜歡男主但又因為各種原因拒絕他，再加上不聽人話，每個人都跟他說 OOO 很危險不要靠近，或是 XXX 很不安全不要去，女主就偏要去/偏要做，然後再靠別人來救他，每次看到這劇情 loop 就想翻白眼。上卷女主很憋屈，渣男主娶很多小妾那邊很讓人想丟書，重點是他不是娶回來放著他每個都睡了啊!!! 一整個接受不能，下卷從女主詐死以後開始，感覺換了個故事，變成江湖小兒女的故事了，下卷風格不太喜歡，但重點著重在渣男主洗白，寫了很多英雄救美跟深情橋段，失心瘋男配很變態，被發了哥哥卡的男配超衰小，愛不到就算了還被硬塞了個別的女人。不知道最後是不是寫不下去了，就讓他回現代被人開導以後回來就草草收尾了，番外的自述風格不是很愛，感覺只是用小篇幅回顧整個文章。總之，打發時間看還 OK
★★★☆ 危宮驚夢/帝王榻側(舊稱) by 狂上加狂 看完以後沒有馬上紀錄心得，現在什麼都想不起來了，印象中還不錯。是個女扮男裝的皇子變成魁儡皇帝以後又轉變成皇帝的妹妹(女主原來的身分)，最後成了女帝娶了男主當皇后的故事。肉頗多，還有個打不死又吃不到女主的變態男配。女主內心糾結很多，導致在愛不愛男主這部分糾纏了很久有點冗長。其他的想不起來了，總之是本輕鬆的消遣故事。
★★★☆ 簪中錄 by 側側輕寒 很多人推薦的推理言情小說，總共四卷，前面三卷還蠻精彩的，隨便一個路人殺人犯都可以用超高超華麗的技巧殺人，然後讓女主角抽絲剝繭找到真兇，最後一卷有點讓人不耐，男主男配女主的三角關係，廢柴皇帝的把戲，明明愛得要命卻要推開女主明明應該要更有能力處理皇帝的陰謀但卻坐以待斃，讓女主陷入利用查案的糾纏中，明明男女主角只要好好討論一下各自的想法跟準備就可以好好解決面對問題了，但這樣可能演不了整本書就是了。最討喜的腳色就是女主角查案的好夥伴，仵作技能滿點的男角，有了這個腳色插花，劇情很多地方都變得有趣許多，是個加分的 point。男主角前期的高冷傲驕慢慢喜歡上女主的描寫還不錯，可惜後來存在感越來越薄弱，有點可惜。女主角其實就是柯南，有他的地方就會有屍體，然後是個聰明人，但是對這腳色沒什麼特別的感想。總之是本前面很想快點繼續看下去找到謎底，後面是不耐的想看完這本書，適合有空的時間看!
★★★☆ 女配你怎麼又哭了 by 一念夕霧 故事架構蠻新鮮的，女主穿越成 NP 肉文的砲灰女配，有個變態師父和各種不同性癖好的師兄，為了不跟原文女配得到一樣的淒涼下場，努力活出不一樣的劇情。前半段還蠻好看的，很歡樂很多肉，師傅雖然變態但是不會讓人覺得討厭，師兄腳色都都還OK，中間穿插了幾個別人的故事也都很感人，大師兄前世渣男、大小姐和入贅男、戲子跟少爺的故事都不錯，但後來女主離開男主之後，不知為何展開了新世界劇情，這段來的莫名其妙且有點蝦，加上後來大概是作者不想寫了還是怎樣地，就倉促的光速收尾了，真真令人傻眼，雖然番外有補充了一些劇情，但是還是覺得很可惜，要是劇情再完整點就更加完美啦~
★★★★ 男人如爐鼎 by 姬昭璋 喜歡! 可惜大道講太多，女主角對男主角太壞有點可憐，但其實又是男主自找的。男主加孩子是狐狸好萌好可愛，配角寵物什麼的也都很有戲，總之平淡中帶點歡樂，看完心情很好，不錯不錯。
★★★ 公主世無雙 / 剋夫長公主 by 衣十一 還OK，男主有好多隱藏身分，女主是個作為皇太女培養但沒當上女帝的公主，因為被皇帝弟弟懷疑陷害而展開的劇情，結局有點草率，我還等著作者怎麼把中毒到要死了的男主起死回生呢，結果幾句話就帶過了，還等著看女主跟弟弟皇上對決呢，結果把朝中大老鬥倒就和平的禪位了，還等著看男女主角會不會有小孩呢，結果就沒了，連番外也不給，太殘忍了。整個故事男女主角嚴重溝通不足阿，男主隱瞞了所有事情除了他的真心吧，女主每次發現被騙但因為男主病得太慘了還有愛所以都很容易就原諒他了，根本沒好好交心啊，雖然他們好好交流了的話故事就沒法寫下去了。雖然男主病得要死然後使計離開女主角很狗血，但還是覺得亂可憐一把的，總之是個不無小補的打發時間小故事。
★★★★ 非人庵 by 大隻的魂 喜歡! 裡面的妖怪都很可愛，炸毛的紅狐狸、24隻蘑菇、九耳小黑狗還有傲嬌孔雀，女主角也沒有金手指大開蹭蹭蹭的猛升級，個性也討喜，故事性也很足夠，雖然男主角性格不夠鮮明立體但還是大愛男主，小孩也很可愛，番外也不錯。總之也是個看完心情很好的故事。
★★★ 琉璃美人煞 by 十四郎 普普，故事性不錯，文筆也不錯，親情友情也寫得蠻好的，但女主角實在不是我的菜，可能是無心之人的設定的關係，很多事情不開竅的不只讓男主角想吐血，被虐的死去活來，同樣的讓看書的人也猛翻白眼。大概是女主的關係，讓人看書看起來不太起勁，寫心得也沒勁，too bad。
★★★☆ 嫡女奮鬥記 by 秦皇 不錯，甜寵爽文，感情戲寫得蠻好的，不管是親情還是愛情，在處理女主想愛又不敢愛的迴圈時也沒有一直鬼打牆，很快就給男主角一個解脫了，這部份很不錯。女主的哥哥嫂嫂繼子這些腳色也都寫得很討喜，壞人的部分就寫的智商有點低的感覺，一舉一動所有反應都被主角掌握的感覺，然後奸計都一一被主角識破然後反將一軍，看起來頗爽。總之也是本輕鬆愉快有點肉沫打發時間的好書。
★★★☆ 舊時燕飛帝王家 by 狂上加狂 不錯，男女主角都討喜，感情進展寫的也很好，壞人也不會太蠢雖然還是被打趴，收尾雖然感覺有點倉卒但其實故事也寫得差不多了，前朝太子遺孤那對結局也很好，就是沒有番外有點可惜
★★☆ 頂級合約 by 沈小七 現代演藝圈文，故事性還OK，懸而未決的命案，殺人兇手究竟是誰，加上女主得了不能拍照病，這設定還挺有趣的。可惜現代文總是容易讓人出戲，男主紅遍全球拿獎跟切豆腐一樣容易，帶著女主到處亂跑也不會被拍，公布戀情竟然得到祝福完全沒黑掉，女主很誇張的學霸經歷，都有點不太現實阿，總之常常很讓人出戲。再來就是用字遣詞十分大陸化，好多網路用語有點難看懂，這實在有點雷，但這篇還蠻短的，一下子就能翻完是他的優點!
★★★★ 護心 by 九鷺非香 喜歡，男女主角都討喜，配角們也都很好只是發了太多便當了阿! 男女主角的遭遇都很讓人心疼，還好他們遇見了彼此。可惜最後收尾收得有點倉促，大魔王一下就打完了，女主領完便當馬上又回來了，後續就什麼的都沒有了，我難過，好歹也多給幾個番外吧!! 這個作者的作品都還不錯，還要繼續挑戰他的其他作品!
★★★ 沉香如屑 by 蘇寞 普通，故事的前三分之二都有點平淡，已經看了劇透知道腳色之間的關係才看都覺得故事平淡人物關係模糊，要是沒看劇透的人應該會看的一頭霧水得反覆看過好幾次才能了解來龍去脈吧。直到男二回到原本身份才緩緩道出一切的緣由，女主與男二之間的關係，男主看戲人變成戲中人這段寫的倒是不錯，男主默默守候了很久也很感人，只可惜男主戲份太少，腳色刻劃也不太生動，收尾有點倉卒，好像很多該交代的都沒交代，是個有點殘念的故事。
========== 棄文區 ==========
卿本凶悍之逃嫁太子妃 / 一生一世笑繁華 by 惑亂江山
簡介看起來是個爽文的劇情設定，這種文章通常我可以看得很開心，但這篇的女主角個性實在不是我的菜，有點白目，然後穿越到古代拼命唱雷人現代歌，實在是讓人有點看不下去，然後用語有點白話搭配上有點白目的女主就很讓人出戲，撐了三十章以後受不了只好放棄
★★★ 國色芳華 by 意千重 有點兒長，有點兒拖戲，雖然作者想再寫個200章應該也不是問題。討人厭的腳色有點兒多，雖然最後也都得到了淒涼的下場，但看的時候就覺得很惱人，虐渣南前夫的部分感覺是往搞笑的路線去虐的，看到後來覺得他又囧又好笑。男主角走的是平穩路線，感覺起來不特別厲害，但他要做什麼事又都能處理得很好，大概是主角威能吧，跟女主角之間的戲份也很甜，女主雖然是穿來的，但沒開什麼穿越的金手指，頂多就是種花的技術比較好罷了，但種花的部分其實也沒有描寫很多有點可惜。女主家的大家庭親情故事寫的還不錯，男主家的爛帳也處理得還不錯，就是有些人的下落沒交代清楚，有點殘念，然後覺得番外不夠阿不夠。
★★★☆ 定天下 by 紫筱戀喜 美女扮醜男裝文，還不錯，算是本真言情小說，雖然故事內容是謀略定天下，但是戰爭權謀佔了很小一部分，大部分還是主角在談情說愛。男主角很討喜，什麼事都知道什麼都不奇怪，很腹黑很妖孽很可愛，雖然人前人後差別大的有種人格分裂的感覺，但完全是我的心頭好。女主角就有點討人厭，從男主到男配1234都要招惹，感覺他每個都愛，隨便哪個都可以讓他心跳加快、透不過氣、心頭難受之類的，每個都給了希望讓人上鉤，但他明明愛的是男主啊! 然後男主又太強大了，男配們整個超可憐，總之女主常常讓人看到猛翻白眼。女主在愛人與被愛之間猶豫不決那邊也讓人看得很焦慮，雖然覺得他可能只是因為童年遭遇的關係很需要被愛很沒安全感，但是還是覺得很受不了，深深為男主男二掬一把眼淚。這文前半段寫得有點太過文言文，看得好辛苦，一直撐到五十章左右才好一點，但是前面進展又有點慢，男主根本看不出半點有喜歡女主的感覺，大概到了一百章出頭才讓人有認真想看下去的感覺，為了想看妖孽腹黑男x女扮男裝主題而看，妖孽腹黑男部分不錯，女扮男裝部分也還OK，雖然結局跟番外都有點草率，但還算可接受。
★★★ 此心無垠 by 無非由 還OK，女主有點煩，一直都喜歡男主但又因為各種原因拒絕他，再加上不聽人話，每個人都跟他說 OOO 很危險不要靠近，或是 XXX 很不安全不要去，女主就偏要去/偏要做，然後再靠別人來救他，每次看到這劇情 loop 就想翻白眼。上卷女主很憋屈，渣男主娶很多小妾那邊很讓人想丟書，重點是他不是娶回來放著他每個都睡了啊!!! 一整個接受不能，下卷從女主詐死以後開始，感覺換了個故事，變成江湖小兒女的故事了，下卷風格不太喜歡，但重點著重在渣男主洗白，寫了很多英雄救美跟深情橋段，失心瘋男配很變態，被發了哥哥卡的男配超衰小，愛不到就算了還被硬塞了個別的女人。不知道最後是不是寫不下去了，就讓他回現代被人開導以後回來就草草收尾了，番外的自述風格不是很愛，感覺只是用小篇幅回顧整個文章。總之，打發時間看還 OK
★★★☆ 危宮驚夢/帝王榻側(舊稱) by 狂上加狂 看完以後沒有馬上紀錄心得，現在什麼都想不起來了，印象中還不錯。是個女扮男裝的皇子變成魁儡皇帝以後又轉變成皇帝的妹妹(女主原來的身分)，最後成了女帝娶了男主當皇后的故事。肉頗多，還有個打不死又吃不到女主的變態男配。女主內心糾結很多，導致在愛不愛男主這部分糾纏了很久有點冗長。其他的想不起來了，總之是本輕鬆的消遣故事。
★★★☆ 簪中錄 by 側側輕寒 很多人推薦的推理言情小說，總共四卷，前面三卷還蠻精彩的，隨便一個路人殺人犯都可以用超高超華麗的技巧殺人，然後讓女主角抽絲剝繭找到真兇，最後一卷有點讓人不耐，男主男配女主的三角關係，廢柴皇帝的把戲，明明愛得要命卻要推開女主明明應該要更有能力處理皇帝的陰謀但卻坐以待斃，讓女主陷入利用查案的糾纏中，明明男女主角只要好好討論一下各自的想法跟準備就可以好好解決面對問題了，但這樣可能演不了整本書就是了。最討喜的腳色就是女主角查案的好夥伴，仵作技能滿點的男角，有了這個腳色插花，劇情很多地方都變得有趣許多，是個加分的 point。男主角前期的高冷傲驕慢慢喜歡上女主的描寫還不錯，可惜後來存在感越來越薄弱，有點可惜。女主角其實就是柯南，有他的地方就會有屍體，然後是個聰明人，但是對這腳色沒什麼特別的感想。總之是本前面很想快點繼續看下去找到謎底，後面是不耐的想看完這本書，適合有空的時間看!
★★★☆ 女配你怎麼又哭了 by 一念夕霧 故事架構蠻新鮮的，女主穿越成 NP 肉文的砲灰女配，有個變態師父和各種不同性癖好的師兄，為了不跟原文女配得到一樣的淒涼下場，努力活出不一樣的劇情。前半段還蠻好看的，很歡樂很多肉，師傅雖然變態但是不會讓人覺得討厭，師兄腳色都都還OK，中間穿插了幾個別人的故事也都很感人，大師兄前世渣男、大小姐和入贅男、戲子跟少爺的故事都不錯，但後來女主離開男主之後，不知為何展開了新世界劇情，這段來的莫名其妙且有點蝦，加上後來大概是作者不想寫了還是怎樣地，就倉促的光速收尾了，真真令人傻眼，雖然番外有補充了一些劇情，但是還是覺得很可惜，要是劇情再完整點就更加完美啦~
★★★★ 男人如爐鼎 by 姬昭璋 喜歡! 可惜大道講太多，女主角對男主角太壞有點可憐，但其實又是男主自找的。男主加孩子是狐狸好萌好可愛，配角寵物什麼的也都很有戲，總之平淡中帶點歡樂，看完心情很好，不錯不錯。
★★★ 公主世無雙 / 剋夫長公主 by 衣十一 還OK，男主有好多隱藏身分，女主是個作為皇太女培養但沒當上女帝的公主，因為被皇帝弟弟懷疑陷害而展開的劇情，結局有點草率，我還等著作者怎麼把中毒到要死了的男主起死回生呢，結果幾句話就帶過了，還等著看女主跟弟弟皇上對決呢，結果把朝中大老鬥倒就和平的禪位了，還等著看男女主角會不會有小孩呢，結果就沒了，連番外也不給，太殘忍了。整個故事男女主角嚴重溝通不足阿，男主隱瞞了所有事情除了他的真心吧，女主每次發現被騙但因為男主病得太慘了還有愛所以都很容易就原諒他了，根本沒好好交心啊，雖然他們好好交流了的話故事就沒法寫下去了。雖然男主病得要死然後使計離開女主角很狗血，但還是覺得亂可憐一把的，總之是個不無小補的打發時間小故事。
★★★★ 非人庵 by 大隻的魂 喜歡! 裡面的妖怪都很可愛，炸毛的紅狐狸、24隻蘑菇、九耳小黑狗還有傲嬌孔雀，女主角也沒有金手指大開蹭蹭蹭的猛升級，個性也討喜，故事性也很足夠，雖然男主角性格不夠鮮明立體但還是大愛男主，小孩也很可愛，番外也不錯。總之也是個看完心情很好的故事。
★★★ 琉璃美人煞 by 十四郎 普普，故事性不錯，文筆也不錯，親情友情也寫得蠻好的，但女主角實在不是我的菜，可能是無心之人的設定的關係，很多事情不開竅的不只讓男主角想吐血，被虐的死去活來，同樣的讓看書的人也猛翻白眼。大概是女主的關係，讓人看書看起來不太起勁，寫心得也沒勁，too bad。
★★★☆ 嫡女奮鬥記 by 秦皇 不錯，甜寵爽文，感情戲寫得蠻好的，不管是親情還是愛情，在處理女主想愛又不敢愛的迴圈時也沒有一直鬼打牆，很快就給男主角一個解脫了，這部份很不錯。女主的哥哥嫂嫂繼子這些腳色也都寫得很討喜，壞人的部分就寫的智商有點低的感覺，一舉一動所有反應都被主角掌握的感覺，然後奸計都一一被主角識破然後反將一軍，看起來頗爽。總之也是本輕鬆愉快有點肉沫打發時間的好書。
★★★☆ 舊時燕飛帝王家 by 狂上加狂 不錯，男女主角都討喜，感情進展寫的也很好，壞人也不會太蠢雖然還是被打趴，收尾雖然感覺有點倉卒但其實故事也寫得差不多了，前朝太子遺孤那對結局也很好，就是沒有番外有點可惜
★★☆ 頂級合約 by 沈小七 現代演藝圈文，故事性還OK，懸而未決的命案，殺人兇手究竟是誰，加上女主得了不能拍照病，這設定還挺有趣的。可惜現代文總是容易讓人出戲，男主紅遍全球拿獎跟切豆腐一樣容易，帶著女主到處亂跑也不會被拍，公布戀情竟然得到祝福完全沒黑掉，女主很誇張的學霸經歷，都有點不太現實阿，總之常常很讓人出戲。再來就是用字遣詞十分大陸化，好多網路用語有點難看懂，這實在有點雷，但這篇還蠻短的，一下子就能翻完是他的優點!
★★★★ 護心 by 九鷺非香 喜歡，男女主角都討喜，配角們也都很好只是發了太多便當了阿! 男女主角的遭遇都很讓人心疼，還好他們遇見了彼此。可惜最後收尾收得有點倉促，大魔王一下就打完了，女主領完便當馬上又回來了，後續就什麼的都沒有了，我難過，好歹也多給幾個番外吧!! 這個作者的作品都還不錯，還要繼續挑戰他的其他作品!
★★★ 沉香如屑 by 蘇寞 普通，故事的前三分之二都有點平淡，已經看了劇透知道腳色之間的關係才看都覺得故事平淡人物關係模糊，要是沒看劇透的人應該會看的一頭霧水得反覆看過好幾次才能了解來龍去脈吧。直到男二回到原本身份才緩緩道出一切的緣由，女主與男二之間的關係，男主看戲人變成戲中人這段寫的倒是不錯，男主默默守候了很久也很感人，只可惜男主戲份太少，腳色刻劃也不太生動，收尾有點倉卒，好像很多該交代的都沒交代，是個有點殘念的故事。
========== 棄文區 ==========
卿本凶悍之逃嫁太子妃 / 一生一世笑繁華 by 惑亂江山
簡介看起來是個爽文的劇情設定，這種文章通常我可以看得很開心，但這篇的女主角個性實在不是我的菜，有點白目，然後穿越到古代拼命唱雷人現代歌，實在是讓人有點看不下去，然後用語有點白話搭配上有點白目的女主就很讓人出戲，撐了三十章以後受不了只好放棄
2016-05-19
Fortify 說明 - XML External Entity Injection
問題種類：XML External Entity Injection
問題發生原因：XML解析器不會阻止及限制外部實體解析，如此可導致解析器遭受XML外部實體攻擊。
弱點解決辦法：
增加下面紅字兩行屬性，應以安全方式設定 XML 解析器，讓其不允許將外部實體包含在傳入的 XML 文件中。
documentBuilderFactory = DocumentBuilderFactory.newInstance();
documentBuilderFactory.setFeature("http://xml.org/sax/features/external-general-entities", false); documentBuilderFactory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);documentBuilder = documentBuilderFactory.newDocumentBuilder();
document = documentBuilder.parse(filepath);
問題發生原因：XML解析器不會阻止及限制外部實體解析，如此可導致解析器遭受XML外部實體攻擊。
弱點解決辦法：
增加下面紅字兩行屬性，應以安全方式設定 XML 解析器，讓其不允許將外部實體包含在傳入的 XML 文件中。
documentBuilderFactory = DocumentBuilderFactory.newInstance();
documentBuilderFactory.setFeature("http://xml.org/sax/features/external-general-entities", false); documentBuilderFactory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);documentBuilder = documentBuilderFactory.newDocumentBuilder();
document = documentBuilder.parse(filepath);
訂閱：
文章 (Atom)