数字类型的不正确转换漏洞(数字类型的数据)

本期主题为数字类型的不正确转换导致漏洞的相关介绍。

一、什么是数字类型的不正确转换?

从一种数据类型转换为另一种数据类型(例如从long到int )时，会忽略部分数据，造成精度损失，甚至产生不可预期的数值。如果在敏感的上下文中使用结果值，则可能会发生危险行为。

二、数字类型的不正确转换构成条件有哪些?

满足以下条件，就构成了一个该类型的安全漏洞：

将一个数值从一种类型强制转换为另一种类型，而又超出了目标类型的表示范围，结果就会截断成一个完全不同的值。

三、数字类型的不正确转换会造成哪些后果?

该程序可能会使用错误的数字结束并生成错误的结果。如果该数字用于分配资源或做出安全决策，则可能会引入漏洞。

四、数字类型的不正确转换的防范和修补方法有哪些?

1.避免在数字类型之间进行转换;

2.始终检查允许的范围。

五、数字类型的不正确转换漏洞样例：

用 wukong静态代码检测工具检测上述程序代码，则可以发现代码中存在着“数字类型的不正确转换” 导致的代码缺陷，如下图：

数字类型的不正确转换在CWE中被编号为CWE-681:Incorrect Conversion between Numeric Types

本文作者：中科天齐软件安全

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/173830.html