第24章 安全会议(2/3)
可陈默看到的结果,可以明确的说,基本是不可能的了。
数据库没有索引。
一个简单的查询都需要走全表扫描,每次都要把整张表读进内存。
与外部公网IP的通讯依然时有出现,年前的事看来并没有得到彻底解决。
应用系统日志里,ERROR级别的日志密密麻麻,像一群蚂蚁在屏幕上爬行。
扣费模块里存在着空指针异常。
计费模块,频繁的创建对象,还不及时释放,导致内存溢出现象频发。
查询日志里,每条查询都要在3秒以上,很明显,都是索引的锅。
bug管理系统,登记的七百多条bug,没有一条修改记录。
代码仓库里,陈默随机下载了几个文件,满屏的所有数据库操作都写在Servlet的doPost方法里,没有分层,没有事务管理,SQL语句用字符串拼接,用户输入的参数直接拼进SQL里。
“用最简单的SQL注入就可以攻击。”陈默嘀咕着,“稍微懂一点技术的人,就可以篡改交易金额。”
再查看数据库表结构。
表名是拼音缩写,字段名也是拼音,没有任何注释。
有一个字段叫“je“,陈默猜了一会,才知道是‘金额’。
字段类型是VARCHAR,长度五十。
金额数据竟然用字符串类型存,也只是活见鬼了。
怎么做数值计算?
怎么做精度校验?
继续查看相应的代码文件,进一步发现在计算的时候,使用Double.
parseDouble进行类型转换。
难道智通科技的研发人员就没考虑Double的精度问题吗?
大学时候就学过的知识点,为什么在如此重要的系统里却忘记了呢?
每次转换相差一分钱两分钱,积少成多,几千万笔交易,最终差额有多大?
陈默把自己弄郁闷了。
他把这些日志和问题做了分类整理,用Excel做了一个表格。
四列:问题类型、问题描述、影响范围、严重程度。
不到一个小时,他就写了四十七条,写完第四十件,该截图的截图、该下载原始文件的下载原始文件,一并拷贝到自己的U盘里,随后关闭了文件,并退出了服务器。
做完这一切的陈默,坐在椅子上,一边用手按着自己的太阳穴,一边思索着如何处理。
就在这时,门被敲响了。
“请进。”陈默对着门口说道。
门被应声推开了,进来的是运营公司办公室的张慕琪,她看着陈默,直接说道:“陈总不好意思,打扰你了。
是这样的,马上就放清明假了。
刚才张书记电话通知我们办公室,在10分钟后召开安全生产会,要求各部门负责人子分公司的班子成员都要参加。
不知道您是否方便?”
听张慕琪说完,陈默痛快地说道:“我没问题。
在哪个会议室?
本章未完,请翻下一页继续阅读.........