使用Java进行渗透测试——简介：Java安全性、安全编码与渗透测试简介在软件安全中，掌握基础知识是构建稳固、无法渗透

简介

在软件安全中，掌握基础知识是构建稳固、无法渗透的系统的重要第一步。本章将带你进入Java安全性、安全编码和渗透测试的世界。我们将从全面探讨《开放全球应用程序安全项目》（OWASP）Top 10开始，解读每个开发人员和安全专家必须了解的最关键的安全风险。随着深入探讨，我们将揭示安全编码的原则和安全设计的艺术，为“设计即安全”的方法奠定基础。此外，我们还将概述渗透测试，区分白盒测试、黑盒测试和灰盒测试，帮助你掌握评估、缓解和加固Java应用程序免受多种安全威胁的知识。本章不仅是一个介绍，它是你走向Java安全卓越的指南针。

结构

本章讨论了Java安全性和渗透测试的整体过程，包括：

OWASP Top 10
安全设计
安全编码
渗透测试方法概述
渗透测试的标准工具
黑盒测试
白盒测试
灰盒测试

每种渗透测试方法都提供了一种独特的视角，通过这种视角可以观察系统的安全态势，确保评估根据目标环境的具体情况量身定制。

目标

在本章中，我们将学习Java应用程序安全，首先介绍OWASP Top 10。我们将探讨安全软件开发生命周期（SSDLC），包括安全设计和编码。我们将深入研究渗透测试技术，揭示其基本原理、优点和局限性。章节结束时，你将了解渗透测试的基本步骤，并能够识别和理解黑盒、灰盒和白盒渗透测试之间的区别。你还将理解每种技术的优缺点。

OWASP Top 10

OWASP是一个全球性的社区，致力于提升软件安全，提供免费和开源的资源和工具，以应对Web应用程序的漏洞和风险。OWASP Top 10是一个广泛认可的标准，自2003年发布以来，一直作为Web应用程序安全领域的重要资源。该列表通常每隔几年更新一次，以反映不断变化的威胁环境，最新版本为OWASP Top 10 2021。这个列表提供了Web应用程序安全风险的快照，为开发人员和安全专家提供了缓解常见威胁的重要见解。它在业界被广泛引用，并以其实用性为人称道。

OWASP Top 10 2021

最新的OWASP Top 10包括以下漏洞，简要描述如下：

访问控制漏洞：访问控制漏洞被列为第一位，显示其是Web应用程序安全的最大风险。访问控制漏洞是指应用程序允许未经授权的用户读取、写入或删除本不应访问的信息。它包括缺失的功能级访问控制、不安全的直接对象引用和特权提升。第11章《授权实践》中将更详细地讨论这一点。
密码学失败：以前称为敏感数据暴露。密码学是一个过程或算法，它可以隐藏消息或数据，使只有预定方才能读取。重命名此类别的目的是关注与密码学相关的失败。该类别通常会导致敏感数据暴露或系统被攻破。这包括静态数据加密和传输加密。该类别的漏洞包括未对密码进行哈希处理、选择不适当的算法、未使用传输层安全协议（TLS）等。TLS是一种旨在提供隐私保护和安全数据传输的安全协议。第9章《身份验证协议》，第11章《授权实践》和第17章《Java Android应用程序的网络分析》中将讨论一些密码学失败的示例。
注入攻击：攻击者向输入中添加额外的意外命令，并被解释执行。注入现在包括跨站脚本（XSS）和其他注入技术，如SQL注入、命令注入、XML注入、LDAP注入等。XSS是指攻击者向网页中插入JavaScript脚本，浏览器解释执行，而SQL注入则向数据库中插入额外的SQL语句，执行时会被数据库执行。类似地，XML注入会插入额外的XML，LDAP注入会插入LDAP命令，由LDAP服务器解释执行。命令注入是指攻击者通过恶意输入执行操作系统命令。第4章《SQL注入的可观察性》涵盖了多种注入技术，其他注入示例可在第6章《CORs利用》和第9章《身份验证协议》中找到。
不安全设计：这是2021年新增的类别，关注与设计缺陷相关的风险。目标是将更多的威胁建模、安全设计模式和安全设计原则引入到SSDLC（安全软件开发生命周期）中。该类别将在第7章《执行业务逻辑漏洞》和第9章《身份验证协议》中讨论。
安全配置错误：现在该类别包括XML外部实体（XXE）。安全配置错误是指系统或应用程序被意外地置于脆弱状态，通常是由于缺乏适当的防护措施或设置。第5章《默认值的配置错误》和第7章《探索DOS攻击的向量》中涵盖了这一点。
脆弱和过时的组件：以前称为已知漏洞组件。脆弱和过时的组件是指代码中包含的任何库或在Web服务器上运行的软件，它们存在已发布的漏洞或缺少安全补丁。第5章《默认值的配置错误》将讨论这一点。
身份验证和认证失败：以前称为身份验证失败，并从第二位下滑，因为现在包括了身份验证失败。该问题将在第9章《身份验证协议》中讨论。
软件和数据完整性失败：这是2021年的新类别，关注与软件更新、关键数据和持续集成/持续部署（CI/CD）管道相关的假设，而没有验证其完整性。不安全的反序列化现在是该类别的一部分。第12章《Java反序列化漏洞》中将讨论这一点。
安全日志记录和监控失败：以前称为日志记录和监控不足。该类别已经扩展，包含了更多的失败，并且测试起来具有挑战性。将简要提及，但不会深入讨论。
服务器端请求伪造：服务器端请求伪造是一种安全漏洞，允许攻击者从Web服务器向内部或外部资源发送请求，可能导致数据泄露、服务中断或进一步的攻击。该漏洞是根据社区调查新增的，将在第11章《授权实践》中讨论。

除了OWASP Top 10，OWASP还提供了一些有价值的贡献和倡议，包括：

备忘单：OWASP提供了一系列备忘单，提供关于应用程序安全各个方面的简明实用的指导。包括安全编码实践、身份验证和会话管理等，使开发人员和安全专家能够更轻松地实施安全措施。
测试指南：OWASP发布了全面的测试指南，确保通过概述评估Web应用程序、Web服务和API的安全性的方法和技术，进行彻底的应用程序安全评估。
Web应用程序安全测试工具：OWASP积极支持和推广开源Web应用程序安全测试工具，如OWASP Zed Attack Proxy（OWASP ZAP）和OWASP Dependency-Check等。这些工具有助于扫描、测试和加固Web应用程序。
教育资源：OWASP提供丰富的教育资源，包括网络研讨会、培训课程和会议，帮助个人和组织提升应用程序安全最佳实践的知识。
项目倡议：OWASP主持了多个项目倡议，专注于应用程序安全的不同方面，如OWASP AppSensor项目，专注于实时应用层监控和响应。
文档和指南：OWASP提供了广泛的文档、指南和最佳实践，涵盖安全编码、安全开发和应用程序安全的其他各个方面。
社区参与：OWASP促进了一个全球性的安全专家、开发人员和研究人员社区，他们协作并共享关于应用程序安全的知识。社区活动、讨论和论坛帮助促进了协作和信息交流。
应用程序安全倡导：OWASP倡导应用程序安全的重要性，鼓励组织在其软件开发生命周期中采用安全开发实践并优先考虑安全问题。

OWASP是应用程序安全社区的核心枢纽，提供了许多资源、工具和倡议，以促进和提升安全的应用程序开发和Web安全实践。它在提高意识、教育专业人士和促进协作方面发挥了关键作用，旨在使数字世界更加安全。

安全软件开发生命周期

安全软件开发生命周期（Secure Software Development Lifecycle，SSDLC）包含了在软件开发的每个阶段中集成安全性的各种方法和实践。软件开发生命周期（SDLC）的主要阶段与安全软件开发生命周期相同，如下图所示：

这些阶段及其安全特定步骤如下：

需求阶段：安全需求的发现与功能需求是分开进行的。这可以通过从用例中推导出安全需求来实现。在这个阶段，正确地引导安全需求的获取可以确保符合合规标准，并节省成本。
设计阶段：安全设计从融入安全需求开始。遵循一套安全设计原则可以迫使开发人员在编码时考虑安全性。执行威胁建模有助于验证设计的安全性。
开发阶段：安全开发包括遵循安全编码标准、安全设计模式和框架，并遵循安全编码实践。
测试阶段：安全测试包括安全代码审查、静态代码分析、开源漏洞扫描、动态代码分析和手动安全测试（渗透测试）。
部署阶段：安全部署协调软件部署，同时融入安全检查和控制措施，以确保只有经过测试和批准的安全代码被发布到生产环境中。
维护阶段：安全维护涵盖了及时应用安全更新和补丁以应对漏洞，并保护系统免受新兴威胁的持续过程，从而确保应用程序的长期安全性。

本书提供了关于安全编码和设计原则的指导，这些实践和原则强调编写安全代码和设计软件，旨在防止漏洞并确保强健的网络安全。SSDLC的其他部分也有涉及，但没有深入讨论。

安全设计

安全设计是规划、架构和构建软件应用程序的实践，主要侧重于将安全措施融入到应用程序的整体设计和架构中，确保安全性是系统的一个不可或缺的部分。安全设计关注在开发过程的早期阶段所做的高层决策和架构选择，以创建一个根本上安全的软件基础。
安全设计确保在需求阶段获取的安全要求已经融入到设计中。在决策过程中，安全设计将强制执行先前定义的安全设计原则。可以采用威胁建模来检查设计。你可能希望在实现中包含以下一些安全设计原则：

深度防御：使用多种安全机制保护应用程序，因为其中某一种可能会失败，或者明天就会出现零日漏洞。保护应用程序的所有部分。
不信任用户输入：将所有用户输入视为恶意，直到证明不是为止。
默认安全：安全设置必须在默认配置中启用。用户可以降低安全性，但每个人应该在不想要时才放弃最大保护。
最小特权：用户、服务账户、系统账户、服务、程序和脚本应始终以最低的特权运行，以限制被黑客攻击时造成的损害。
安全失败：发生错误时，不授予访问权限、不解密消息或显示堆栈跟踪。
为系统妥协做设计：假设系统会被攻破，并使其易于恢复。使更改加密密钥或哈希算法变得简单。构建一个机制，在系统被攻破后强制用户更改密码。
减少攻击面：减少入口点。关闭不需要的功能、协议和功能。
保持安全简单：复杂意味着难以理解和测试。错误更多，配置容易出错。所以，尽量保持安全简单。
保护个人身份信息（PII）和其他敏感数据：在传输中加密。不应将加密密钥与它们加密的数据一起存储。
容错：允许软件在出现故障后继续运行。
故障检测：包括系统监控和心跳机制。
审计和日志记录：捕获攻击发生时的信息，以便我们采取行动。

安全设计可以修复顺序处理流程、业务逻辑漏洞等重大问题。安全设计不能改善糟糕的实现。不良的实现会导致可利用的漏洞和完全的妥协，无论设计多么优秀。因此，我们还需要进行安全编码。

安全编码

安全编码明确指的是在软件应用程序中编写代码，主要强调实现安全控制和缓解措施，以解决潜在的漏洞和威胁。
实现阶段应包括一套安全编码指南、最佳实践和安全设计模式及框架。以下是应该包含的一些常见指南和最佳实践的示例：

使用参数化查询来防止SQL注入。
当在HTML中显示用户输入时进行输出编码，以防止XSS攻击。
清理任何操作系统命令的输入。
对所有输入进行服务器端验证。
输入应验证类型、范围和长度。
验证应处理特殊情况，如null、新行和.\。
对于任何不是专门设计为公开的内容，都要求身份验证。
如果存储密码，使用密码学强的单向加盐哈希。
凭证应通过HTTP POST动词和TLS进行传输。
强制密码要求，防止容易猜测的密码。
实施多因素身份验证（MFA）或限制登录次数等控制措施，以防止暴力破解密码。
默认情况下，将密码值从屏幕中隐藏，以防止肩窥攻击。
应用程序用于身份验证其他资源的所有凭证应加密存储在受信的位置，不应存储在源代码中。
登录时应建立新会话。
登出时应终止会话。
角色的任何变化都应导致新会话。
从HTTP切换到HTTPS时应导致新会话。
使用HTTPONLY和secure标志保护存储在cookies中的会话令牌。
每次请求时都应检查授权。
限制所有受保护URL、受保护功能、直接对象引用、服务和应用程序数据仅对授权用户开放。
授权应在服务器端进行检查，并与任何网页应用程序显示的信息相匹配。
从网页中删除评论和系统帮助页面，以避免共享敏感信息或实现细节。
对于任何包含敏感数据的页面，不要使用客户端缓存。
所有敏感数据应通过TLS 1.1或更高版本进行安全传输。
所有加密操作应在服务器端执行。
使用密码学随机数生成器来创建加密密钥，或使用如PBKDF2的算法。
不要在错误响应中透露敏感信息，包括系统详情、会话标识符或账户信息。
与所有安全控制相关的错误处理逻辑（包括加密、访问控制、身份验证和输入验证）应默认拒绝访问。
记录所有安全控制失败，包括身份验证、加密、输入验证以及过期或无效的会话令牌。
不记录个人身份信息（PII）、会话令牌、密码或加密密钥。
密码、加密密钥和数据库连接字符串不应硬编码。这可能导致数据泄露，且如果出现漏洞，难以进行更改。
不要在HTTP GET请求参数中包含敏感信息。
身份验证失败的响应不应指出哪个身份验证数据不正确。

这些指南可能包括在特定情况下用于加密或输出编码的特定库，或实现新数据库查询的具体指南。本书中将包含大量安全编码指南和安全代码示例，供你使用并传授给他人。

渗透测试方法概述

渗透测试是一种系统的过程，用于识别和缓解系统或网络中的安全漏洞。它模拟现实世界中的网络攻击，以评估安全措施的有效性并揭示潜在的弱点。该方法通常由四个迭代阶段组成，如图1.2所示：

侦察：信息收集
在侦察阶段，测试人员从外部来源收集关于目标系统或应用程序的信息。这涉及对目标、其基础设施和在线存在的研究。主要目标是了解组织的数字足迹，识别潜在的攻击向量，并获得对其潜在漏洞的洞察。信息来源可能包括公共数据库、社交媒体和DNS记录。

映射：从用户的角度理解
映射是第二个阶段，在这一阶段，测试人员旨在从用户的角度理解系统或应用程序的行为。这包括绘制目标的外部面组件，如Web应用程序、网络架构和服务。目标是理解用户如何与目标交互，包括数据流、用户界面和典型的使用模式。映射为后续的测试阶段奠定了基础。

漏洞发现：攻击者的视角
在映射阶段获得洞察的基础上，漏洞发现阶段将重点转向从攻击者的角度理解目标系统或应用程序。测试人员积极寻找可能被利用的安全漏洞。这涉及多种技术，包括自动化漏洞扫描、手动测试和代码分析。目标是识别软件漏洞、配置错误和弱身份验证机制等漏洞。

漏洞利用：验证和展示
在漏洞利用阶段，测试人员验证在前一阶段发现的漏洞的全部范围。他们尝试利用这些漏洞获得未经授权的访问权限、提升权限或展示攻击的潜在影响。此步骤用于验证漏洞的严重性及其在现实世界中的影响。如果成功，它提供了确凿的证据，表明所识别的问题确实构成了真实的风险。

迭代和报告：持续改进
渗透测试通常是一个迭代过程。如果在任何阶段发现新目标、新信息或新漏洞，测试过程可能会重复进行，以确保彻底评估。测试完成后，测试结果会在一份全面的报告中记录，报告评估安全态势、优先级漏洞、潜在影响以及推荐的修复措施。该报告是利益相关者改进安全防御的重要资源。

总之，渗透测试方法包括四个阶段：侦察、映射、漏洞发现和漏洞利用。每个阶段都有助于识别和解决安全漏洞。这种结构化的方法使组织能够主动增强其安全措施，减少风险，并保护其数字资产免受潜在威胁。

渗透测试标准工具

本节描述了渗透测试人员常用的一些工具。不同的工具有不同的用途，最常见的工具如下所述：

Web代理

Burp Suite：一个全面的Web应用程序安全工具包，用于拦截和修改HTTP(S)流量、手动测试和自动化扫描。
OWASP ZAP：一个开源的Web应用程序安全扫描仪和代理工具，帮助识别Web应用程序中的漏洞和安全问题。

Web代理将在第3章《Web代理实战》中详细介绍。

端口扫描器

Network Mapper (Nmap) ：一个多功能且广泛使用的网络扫描工具，用于发现目标系统上的开放端口、服务和潜在漏洞。
Masscan：一个高速、异步端口扫描器，用于快速的网络探索和大规模扫描。

漏洞扫描器

Nessus：一个强大的漏洞评估工具，用于扫描网络系统中的漏洞、配置错误和安全弱点。
Qualys：一个基于云的漏洞管理和评估平台，提供网络安全态势的实时洞察。

漏洞利用工具

Metasploit框架：一个广泛使用的渗透测试工具，帮助安全专业人员发现、利用和验证各种系统中的漏洞。
Meterpreter：Metasploit中的一个有效载荷，提供被攻陷系统的高级后期利用功能。
Msfvenom：一个Metasploit有效载荷生成器，帮助创建自定义Shellcode和漏洞利用载荷。
SQLMap：一个强大的开源工具，用于自动化Web应用程序中的SQL注入检测和利用。

自定义脚本
自定义脚本是根据特定任务或目标量身定制的，通常由渗透测试人员开发，用于应对评估过程中遇到的独特挑战或需求。这些脚本可以用各种编程语言编写，如Python、Ruby或PowerShell，用于自动化任务、利用漏洞或收集信息。

概念验证（PoC）资源

Exploit Database (ExploitDB) ：一个包含安全漏洞和PoC代码的存储库，安全研究人员和渗透测试人员可以参考它来理解和测试漏洞。
GitHub：GitHub托管了大量安全工具、脚本和PoC的存储库，供安全社区贡献。

这些标准渗透测试工具和资源对于安全专业人员和渗透测试人员至关重要，它们帮助评估和增强系统和应用程序的安全性。它们提供了识别漏洞、执行安全评估和评估安全措施有效性的手段，最终实现更强大和更有韧性的网络安全态势。

黑盒测试

黑盒测试是在没有了解系统内部结构的情况下进行的渗透测试。因此，基于输入和输出，测试人员推断系统是如何工作的，以及可能存在哪些漏洞。如图1.3所示，测试人员无法看到黑盒内部，也不了解内部信息：

黑盒测试是没有系统内部知识的渗透测试。因此，基于输入和输出，测试人员推测系统如何工作以及可能存在的漏洞。如图1.3所示，测试人员无法看到黑盒内部，也不了解内部信息：

黑盒是一个不透明的对象，但测试人员可以确定发生了什么。
这种方法密切模拟了外部黑客的视角，黑客对目标的内部设置缺乏详细了解。因此，黑盒测试旨在揭示真实攻击者可能会利用的漏洞，而无需任何特权信息。
在这种情况下，测试人员会获得需要评估的范围，包括网络地址和范围、网站，有时还会提供凭证。测试人员将在开始测试前进行侦察，以获取额外的信息。侦察可能会发现技术、用户名和源代码。

黑盒测试的关键特征包括：

现实世界模拟：黑盒测试模拟了真实外部攻击者的方式，提供了关于敌人如何在没有内部知识的情况下攻破系统的见解。
聚焦用户视角：测试人员从外部用户的视角接近系统，强调可能被通过常规用户交互利用的潜在漏洞。
没有事先信息：测试人员不会获得内部文档、源代码或关于系统架构的细节，这迫使他们仅依赖可观察的行为和外部交互。
广泛的技术手段：黑盒测试使用多种工具和技术，包括漏洞扫描、网络分析、Web应用程序评估等，来发现潜在的安全弱点。
结果导向：黑盒测试旨在识别可能导致未经授权访问、数据泄露或其他安全事件的漏洞，而不是理解代码或架构中的根本原因。
现实评估：由于黑盒测试不依赖于内部知识，因此它提供了从外部视角看待系统安全态势的现实视图。
较少时间消耗：黑盒测试不涉及分析源代码或内部配置，因此通常比其他方法执行得更快。

原则上，黑盒测试在评估系统外部面向漏洞方面发挥着至关重要的作用，帮助组织识别并解决攻击者可能利用的潜在弱点，且无需内部知识。黑盒测试的一个批评是，真实攻击者可以随意花费时间进行攻击，而这些评估通常会限制在几周内完成。尽管如此，这种方法有助于组织增强对外部威胁的防御，并提供对其安全性的一种全面视图。

白盒测试

白盒渗透测试与黑盒测试不同，它是在了解系统内部结构的情况下进行的，包括源代码和漏洞扫描结果。如图1.4所示，在白盒测试中，测试人员可以看到内部代码和配置：

白盒测试有时也称为清晰盒测试或结构化测试。这种渗透测试方法深入探讨系统或网络的内部工作原理。与黑盒测试不同，黑盒测试侧重于在没有了解系统内部的情况下评估外部漏洞，而白盒测试则涉及对目标系统的源代码、架构和其他内部细节的完全访问。

在白盒测试中，测试人员以深入了解系统设计、逻辑和组件的视角进行评估。这使得可以全面检查代码库、数据库、API和其他内部元素，以识别从外部视角可能无法察觉的漏洞。其目标是定位源自系统代码、配置以及不同组件之间交互的潜在安全弱点。

白盒测试的关键特征包括：

深入分析：白盒测试涉及彻底检查系统的源代码、配置和架构，以发现深藏在系统中的漏洞。
访问内部细节：测试人员可以访问文档、源代码、设计图和其他内部信息，从而深入理解系统的工作方式。
代码审查：白盒测试的重要部分是仔细审查源代码，查找安全漏洞、编码错误和潜在的漏洞。
关注内部逻辑：白盒测试强调识别源自系统设计、实现和不同组件交互的漏洞。
理解根本原因：与其他测试方法不同，白盒测试旨在识别漏洞及其在代码库中存在的根本原因。
精确定位：测试人员可以专门针对代码中更可能出现漏洞的关键区域，从而优化测试过程。
全面评估：通过完全访问内部细节，白盒测试提供了系统安全的全貌，涵盖应用逻辑、身份验证机制和数据处理等多个层面。
提高代码质量：白盒测试还可以通过突出编码最佳实践和潜在优化领域，帮助提高代码库的整体质量。

总之，白盒测试对于发现深埋在系统代码库和架构中的漏洞至关重要。它为系统的内部安全态势提供了宝贵的洞察，并帮助组织识别和修复可能需要通过其他测试方法发现的漏洞。

灰盒测试

灰盒渗透测试结合了黑盒测试和白盒测试的技术。这种方法利用源代码和架构的知识，同时也采用黑盒测试中黑客使用的技术。如图1.5所示，测试人员可以看到输入、输出以及内部信息，如代码和配置：

在这种方法中，测试人员对系统内部工作原理的了解可能比白盒测试中更为有限，或者仅在有限的范围内使用这些信息，从而在白盒测试的完全透明性和黑盒测试的外部视角之间找到平衡。
灰盒测试旨在通过利用一些内部信息，同时仍然模拟外部攻击者的视角，提供对系统安全态势的更全面评估。测试人员可能部分访问文档、架构图或源代码的某些部分。这种有限的知识使他们能够专注于可能存在漏洞的区域，同时模拟一个拥有一些内部信息的攻击者如何针对该系统。

灰盒测试的关键特征包括：

部分知识：测试人员可以访问内部信息，如部分源代码、架构细节或系统文档，从而更有效地针对特定的系统区域。
带有洞察的外部视角：灰盒测试结合了黑盒测试的外部视角和有限内部知识带来的洞察，帮助揭示黑盒测试中可能被忽略的漏洞。
聚焦测试：测试人员可以根据部分内部知识集中在系统的高风险区域或组件上，优化测试过程。
现实评估：灰盒测试旨在模拟一个已经获得目标信息的攻击者的方法，提供更现实的潜在攻击向量视图。
平衡方法：灰盒测试平衡了白盒测试的深入分析和黑盒测试的现实模拟。
提高效率：与白盒测试相比，灰盒测试效率更高，因为测试人员不需要审查整个代码库，但仍可以针对关键组件进行测试。
隐藏漏洞的识别：通过结合外部和内部视角，灰盒测试可以揭示在纯黑盒测试中可能被掩盖或不容易察觉的漏洞。
风险优先级：灰盒测试可以根据漏洞的潜在影响和被利用的可能性来优先排序。

原则上，灰盒测试弥合了黑盒和白盒方法之间的差距，提供了对系统安全的细致评估。通过使用有限的内部信息，灰盒测试为发现攻击者可能利用的漏洞提供了一种务实的方法，同时模拟了外部渗透测试的挑战。在许多场景中，推荐使用灰盒测试，因为它结合了黑盒和白盒测试的优点，同时最小化了它们的缺点。

结论

本章为你进入复杂的Java安全领域奠定了基础。通过对OWASP Top 10漏洞的深入理解，你将更好地发现和解决最关键的安全风险。现在，你已经掌握了安全编码和设计原则，使你能够将安全性融入到应用程序的核心中。对渗透测试的概述以及白盒、黑盒和灰盒测试之间的区别，为你进入伦理黑客和安全测试提供了坚实的基础。在接下来的章节中，请记住，本章所获得的知识是构建、保护和测试未来安全Java应用程序的基石。