CS.HCC.PWD
硬编码凭据的使用（密码）
如果软件包含用于身份验证的硬编码凭据，那么软件非常容易遭受攻击，因为恶意用户可能会从可执行文件提取此信息。
CS.HCC.PWD 检查器会检测硬编码密码作为身份验证函数的参数的使用情况。CS.HCC.PWD 检查器还会检测软件将用户凭据与后端应用程序中的内部硬编码值进行比较的情况。硬编码凭据不仅可编码为用于验证函数身份的凭据，还可用作硬编码检查。如果身份验证函数的用户名或密码与硬编码字符串进行比较，这也会是一个漏洞。默认情况下，此检查器考虑常用软件库中的函数，不过也可将其配置为检测自定义身份验证函数。
漏洞与风险
使用硬编码凭据使攻击者能够从可执行文件提取凭据并绕过身份验证。硬编码凭据会产生可能很难检测和修复的重大风险。
缓解与预防
对于出站身份验证：将除代码之外的密码、密钥及其他凭据存储在受到强保护的加密配置文件或数据库中，以阻止所有外部人员访问，包括同一系统中的其他本地用户。对于入站身份验证：不是在首次登录时硬编码默认用户名和密码、密钥或其他身份验证凭据，而是采用要求用户输入唯一强密码或密钥的“首次登录”模式。
漏洞代码示例 1
复制
namespace HCC_PWD
{
class Program
{
int VerifyAdminPassword(String pwd)
{
if (pwd.Equals("pwd@123"))
{
Console.WriteLine("Entering Diagnostic Mode...");
return (1);
}
Console.WriteLine("Incorrect pwd");
return (0);
}
}
}在此示例中，Klocwork 在第 7 行报告了缺陷，这表示通过对函数“System.String.Equals”的调用使用硬编码密码。
修正代码示例 1
复制
namespace Data
{
public class Database
{
public static int VerifyPwd(string pwd)
{
//verify pwd at database
return 1;
}
}
}
namespace HCC_PWD
{
class Program
{
int VerifyAdminUser(String pwd)
{
return Data.Database.VerifyPwd(pwd);
}
}
}在此修正代码示例中，Klocwork 不再报告缺陷。
