关注公众号“中科天齐软件安全中心”（id：woocoom），一起涨知识！
该栏目为中科天齐全新规划的悟空云课堂，每周五下午18:00准时上线，旨在科普软件安全相关知识，助力企业有效防范软件安全漏洞，提升网络安全防护能力。
【悟空云课堂】第八期：switch中缺少default导致的代码缺陷（CWE-478: Missing Default Case in Switch Statement）
什么是switch中缺少default而导致的代码缺陷？
switch用在编程中，如C语言中它经常跟case一起使用，是一个判断选择逻辑结构。其功能就是控制流程流转。switch语句的语法如下(switch，case，break和default是关键字)： switch ( 变量表达式 ) { case 常量1 :语句;break; case 常量2 :语句;break; case 常量3 :语句;break; … case 常量n:语句;break; default :语句;break; } 当变量表达式所表达的量与其中一个case语句中的常量相符时，就执行此case语句后面的语句，并依次下去执行后面所有case语句中的语句，遇到break则中断并跳出当前case分支执行语句。如果常量表达式的量与所有case语句的常量值都不相符，则执行default语句中的语句。
那代码在switch语句中没有default语句，这可能会导致复杂的逻辑问题并由此产生安全隐患。此缺陷代表了软件开发中的常见问题，其中并非所有可能的变量值都由给定过程考虑或处理。因此，根据不良信息做出进一步的决策，并导致级联故障。这种级联故障可能会导致许多安全问题，并构成系统中的重大故障。
switch中缺少default导致的代码缺陷构成条件有哪些？
1、switch语句没有default情况。
switch中缺少default导致的代码缺陷会造成哪些后果？
关键字：改变程序执行逻辑；
1、当switch中的逻辑进行数据检查等，攻击者可以注入不执行任何case分支的数据，则攻击者可以绕过安全检查，或导致程序处理逻辑上错误。
switch中缺少default导致的缺陷防范和修补方法有哪些？
1、switch语句中应该添加default标签； 2、在一些情况下，default应该作为检查无效输入的情况，而不应该作为一个表示假定的选项。
switch中缺少default导致的漏洞样例：
用Wukong（悟空）软件代码安全检测修复系统检测上述程序代码，则可以发现代码中存在着case语句中没有default语句的缺陷，如下图：
switch中缺少default在CWE中被编号为CWE-478: Missing Default Case in Switch Statement
更多的信息请参考CWE官网： cwe.mitre.org/data/defini…
了解更多安全资讯 请关注公众号 中科天齐软件安全中心
